febinrev/atril_cbt-inject-exploitCVE-2023-44452, CVE-2023-51698 : Injection d'arguments lors de l'analyse de fichiers CBT ayant affecté les distributions Linux populaires
Une vulnérabilité critique d'exécution de code à distance (RCE) en un clic / injection de commandes affectant les systèmes d'exploitation Linux populaires avec les environnements de bureau MATE, Cinnamon et certains Xfce.
Systèmes d'exploitation concernés :
Linux Mint Kali Linux (OS populaire parmi les professionnels de la sécurité, chercheurs) Parrot OS (OS populaire parmi les professionnels de la sécurité, chercheurs) Ubuntu-Mate Xubuntu Fedora Cinnamon Fedora Mate Manjaro Mate Manjaro Cinnamon Ubuntu Kylin (Ubuntu chinois officiel) Kylin OS V10 (OS qui serait utilisé dans les secteurs gouvernementaux chinois)
Et d'autres environnements de bureau MATE, Cinnamon et certains Xfce.
Composant logiciel concerné : Toutes les versions, y compris les dernières versions d'Atril Document Viewer (lecteur de documents par défaut pour l'environnement MATE, l'un des lecteurs de documents populaires) et Xreader Document Viewer (lecteur de documents par défaut dans Linux Mint)
Résumé de la vulnérabilité :
Cette vulnérabilité permet à des attaquants distants d'exécuter du code arbitraire sur les installations affectées de Linux Mint Xreader. Une interaction de l'utilisateur est requise pour exploiter cette vulnérabilité, en ce sens que la cible doit visiter une page malveillante ou ouvrir un fichier malveillant.
Le défaut spécifique réside dans l'analyse des fichiers CBT. Le problème résulte de l'absence de validation appropriée d'une chaîne fournie par l'utilisateur avant de l'utiliser pour exécuter un appel système. Un attaquant peut exploiter cette vulnérabilité pour exécuter du code dans le contexte de l'utilisateur actuel.
Cette vulnérabilité est due à un segment de code défectueux dans Atril et Xreader responsable du traitement des documents de bandes dessinées (.cbr, .cbz, .cbt, .cb7). Les documents de bandes dessinées ne sont que des archives contenant des images. La vulnérabilité ici peut être exploitée à l'aide d'un document CBT spécialement conçu, qui est une archive TAR.
Cause racine - Segment de code vulnérable dans les deux visionneuses de documents (comics-document.c) :
static const ComicBookDecompressCommand command_usage_def[] = {
/* RARLABS unrar */
{"%s p -c- -ierr --", "%s vb -c- -- %s", NULL , FALSE, NO_OFFSET},
/* GNA! unrar */
{NULL , "%s t %s" , "%s -xf %s %s" , FALSE, NO_OFFSET},
/* unzip */
{"%s -p -C --" , "%s %s" , NULL , TRUE , OFFSET_ZIP},
/* 7zip */
{NULL , "%s l -- %s" , "%s x -y %s -o%s", FALSE, OFFSET_7Z},
/* tar */
{"%s -xOf" , "%s -tf %s" , NULL , FALSE, NO_OFFSET},
/* UNARCHIVER */
{"unar -o -" , "%s %s" , NULL , FALSE, NO_OFFSET}
};
En regardant le code ci-dessus, nous pouvons voir qu'il y a des commandes shell utilisées pour la décompression. Regardez la section /* tar */, elle appelle en fait la commande shell suivante, "tar -xOf -tf <image dans l'archive tar>". Cela permet d'afficher/charger chaque image dans le document CBT. Ce comportement peut être exploité en utilisant une option du programme tar '--checkpoint-action' pour exécuter des commandes arbitraires sur la cible en nommant l'une des images dans le document CBT avec quelque chose comme '--checkpoint-action=EXEC=bash -c "whoami>/tmp/who.txt";.jpg'.
Cette vulnérabilité a déjà été trouvée dans le visionneur de documents Evince (le lecteur de documents par défaut de GNOME) en 2017. Comme Atril et Xreader sont des forks d'Evince, cette vulnérabilité était présente dans Atril et Xreader. L'équipe d'Atril a corrigé la vulnérabilité à ce moment-là en ajoutant un morceau de code qui quitte le processus d'Atril si le fichier CBT contient "--checkpoint-action=" dans son nom. Voici le correctif (comics-document.c) (ligne - 983) :
extract_argv (EvDocument *document, gint page)
{
ComicsDocument *comics_document = COMICS_DOCUMENT (document);
char **argv;
char *command_line, *quoted_archive, *quoted_filename;
GError *err = NULL;
if (g_strrstr (comics_document->page_names->pdata[page], "--checkpoint-action="))
{
g_warning ("File unsupported\n");
gtk_main_quit ();
}
Comme vous pouvez le voir, il envoie un message "File Unsupported" à la console et quitte lorsqu'il voit "--checkpoint-action=" dans un nom de page/fichier. J'ai remarqué que cela ne fonctionne qu'avec un fichier vide ou un fichier image vraiment petit, et si nous fournissons un fichier plus grand avec plus d'octets, la fonction "gtk_main_quit ();" échoue, donc il continue de s'exécuter, exécutant ainsi la commande arbitraire injectée.
Dans l'environnement de bureau MATE, de nombreux environnements de bureau XFCE et légers (y compris des OS comme Kali, Parrot, Xubuntu, Ubuntu Mate, Kylin, Fedora Mate, Manjaro Mate), cette vulnérabilité peut être exploitée simplement en envoyant un lien/URL car ces systèmes d'exploitation/environnements ont Atril et Atril a un composant supplémentaire appelé atril-previewer qui déclenchera l'exploit sans même ouvrir ou cliquer sur le document. Un attaquant peut créer une page web qui télécharge instantanément le fichier CBT spécialement conçu sur le système cible lorsque l'utilisateur cible visite la page web, et le navigateur Firefox le plus récent télécharge automatiquement par défaut sans confirmation de l'utilisateur ; lorsque l'utilisateur navigue vers son répertoire Téléchargements, la charge utile sera exécutée, donnant à l'attaquant le shell.
Dans Linux Mint (environnement de bureau Cinnamon), l'utilisateur cible doit ouvrir le document pour déclencher la charge utile car Linux Mint utilise Xreader et Xreader n'a pas de visionneuse d'aperçu.
J'ai joint un exploit entièrement fonctionnel avec une vidéo de démonstration dans une archive zip (doctTar-inject_exploit.zip) avec cette soumission.
Dans la vidéo de démonstration, voici le scénario : Machine de l'attaquant - Kali Linux Machine victime - Kali Linux dernière édition (2023.3) La victime visite l'URL/lien malveillant généré par mon script d'exploit
Dépendances de l'exploit : poppler-utils Veuillez installer poppler-utils avant d'exécuter le script d'exploit sur votre machine Linux (Kali de préférence). Installation : apt install poppler-utils.