febinrev/slippy-book-exploitCVE-2023-44451, CVE-2023-52076 : Vulnérabilité RCE affectant les distributions Linux populaires, notamment Mint, Kali, Parrot, Manjaro, etc. Exécution de code à distance par traversée de répertoire lors de l'analyse de fichiers EPUB.
Vulnérabilité RCE affectant les distributions Linux populaires, notamment Mint, Kali, Parrot, Manjaro, etc. Exécution de code à distance par traversée de répertoire lors de l'analyse de fichiers EPUB
Une vulnérabilité critique de traversée de chemin et d'écriture arbitraire de fichiers a été découverte dans le logiciel de visionneuse de documents par défaut de MATE/ et Linux Mint, affectant des systèmes d'exploitation populaires tels que Kali Linux, Parrot Security OS, Ubuntu-Mate, Linux Mint, Xubuntu et tous les autres systèmes d'exploitation qui utilisent MATE ou Atril/Xreader comme visionneuse de documents par défaut.
La vulnérabilité existe dans Atril Document Viewer et Xreader Document Viewer, qui sont respectivement les visionneuses de documents par défaut de l'environnement MATE et de Linux Mint. Atril est le lecteur de documents par défaut de Kali Linux, Ubuntu-Mate, Parrot Security OS et Xubuntu, et Xreader est le lecteur de documents par défaut de Linux Mint.
Cette vulnérabilité permet d'écrire des fichiers arbitraires n'importe où sur le système de fichiers, auxquels l'utilisateur ouvrant un document conçu a accès. La seule limitation est que cette vulnérabilité ne peut pas être exploitée pour écraser des fichiers existants, mais cela n'empêche pas un attaquant d'obtenir une exécution de commandes à distance sur le système cible.
Cette vulnérabilité ne peut pas être exploitée pour écraser des fichiers existants, elle ne peut que créer de nouveaux fichiers à des emplacements spécifiés, mais cela ne nous empêche pas d'obtenir une RCE. J'ai essayé d'utiliser la vulnérabilité pour écrire une entrée .desktop sous $HOME/.config/autostart, puis je me suis déconnecté et reconnecté : l'entrée .desktop malveillante a été déclenchée et j'ai obtenu une exécution de commandes à distance. J'ai également essayé de placer un fichier authorized_keys dans le répertoire .ssh/ et j'ai obtenu une RCE via SSH. Remarque : si un répertoire n'est pas présent, il sera créé automatiquement.
Qui connaît le format Ebook ? Tout le monde n'est-il pas passé au PDF ?
La réponse est non : l'EPUB reste un format de document populaire et puissant, mais beaucoup de gens préfèrent le PDF. La plupart d'entre eux connaissent bien les PDF. J'ai donc essayé de maximiser l'impact de cette vulnérabilité. Une autre chose intéressante que j'ai remarquée : lors du renommage du document .epub en quelque chose.pdf, la visionneuse de documents vulnérable (Atril/Xreader) tente d'ouvrir le fichier quelque chose.pdf et le lit comme un document EPUB, car elle est responsable de la lecture des formats EPUB et PDF ; elle prend également en charge de nombreux autres formats de documents. En d'autres termes, nous pouvons renommer notre quelque chose.epub conçu en quelque chose.pdf, puis l'envoyer à la cible pour obtenir une RCE sur celle-ci.
Donc tout va bien, nous pourrions créer un exploit qui génère une paire epub/pdf pour écrire des entrées .desktop malveillantes dans le répertoire /home//.config/autostart/. Mais il y a un petit problème : le nom d'utilisateur de la cible est requis pour exploiter correctement ce bug. Et si nous ne connaissons pas le nom d'utilisateur ? Pas de RCE facile ? Pouvez-vous deviner le nom d'utilisateur ? Faut-il essayer des noms d'utilisateurs courants au hasard ? Voyons ce que j'ai trouvé...
Après une analyse plus approfondie, j'ai découvert que nous pouvons utiliser /proc/self/cwd pour accéder au répertoire personnel de l'utilisateur s'il télécharge le document conçu et l'ouvre quelque part dans son répertoire personnel, comme les répertoires ~/Downloads/ ou ~/Documents/. Nous pouvons donc exploiter le bug de traversée de chemin pour obtenir une RCE simplement en utilisant le gadget ../../../../../proc/self/cwd/../.config/autostart/exploit.desktop.
J'ai créé un exploit entièrement fonctionnel pour cette vulnérabilité (exploit_rce.sh) et un script pour écrire et inclure des fichiers personnalisés pour la traversée de chemin (exploit_file_write.sh).
REMARQUE : dans Atril de MATE, la vulnérabilité n'est pas corrigée ; les développeurs sont en train de la corriger. J'ai donc ajouté un script de détection (detect.sh) pour détecter les documents EPUB malveillants et les assainir avant de les ouvrir.
