📝 Description

Google Chrome - API File System Access - vulnérabilités signalées par Maciej Pulikowski

Récompense totale du programme Bug Bounty : $5.000

Ceci est une preuve de concept pour :

• [Google Security_Severity] CVE
• [HAUTE] CVE-2021-21123
• [MOYENNE] CVE-2021-21129
• [MOYENNE] CVE-2021-21130
• [MOYENNE] CVE-2021-21131
• [MOYENNE] CVE-2021-21172
• [BASSE] CVE-2021-21141

Le principal problème de sécurité ici est que la boîte de dialogue "Enregistrer sous" du système d'exploitation lancée par Google Chrome affiche à l'utilisateur la mauvaise extension de fichier du fichier téléchargé. Elle affiche "Enregistrer sous le type : JPEG (.jpg)" mais télécharge virus.jpg.lnk qui peut télécharger et exécuter virus.exe via PowerShell.

Il s'agit donc d'une sorte d'usurpation d'extension de fichier téléchargé.

Les bugs fonctionnent dans Google Chrome 86 et 87 sur Windows, Mac et Linux. Bien sûr, LNK ne fonctionne que sur Windows, mais nous pouvons le changer en une extension différente sur Linux ou Mac.

Articles de blog Google :

• https://chromereleases.googleblog.com/2021/01/stable-channel-update-for-desktop_19.html
• https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop.html

Les bugs mentionnés sont "Signalés par Maciej Pulikowski"

📺 Preuve de concept Youtube

https://www.youtube.com/watch?v=l9swTtaRDNs

Merci pour le pouce en l'air 😀👍

👨‍💻 Code PoC

Prérequis : Rien, vous avez juste besoin d'exécuter un fichier HTML dans une version ancienne de Google Chrome 86 ou 87. Si vous voulez le tester avec un fichier .lnk, vous devez créer un fichier FUD "lnkextra.lnk", car il n'est pas inclus.

• example_showSaveFilePicker.html (Les bugs fonctionnent dans Google Chrome 86 et 87. Ils sont corrigés dans la version 88+)

  CVE-2021-21123, CVE-2021-21129, CVE-2021-21130, CVE-2021-21131, CVE-2021-21141

  Terrain de jeu de mes exemples pour showSaveFilePicker() :

  • Enregistrer un fichier LNK et afficher le type d'enregistrement : Image JPEG (*.jpg)
  • De nombreux espaces et fausses extensions dans la description
  • RTL dans la description
  • Description très longue
  • De nombreux espaces dans l'extension
  • RTL dans l'extension
  • L'extension se termine par un espace
  • L'extension se termine par un point
  • Enregistrer un fichier LNK d'une manière différente
  • SUPPLÉMENTAIRE - Comme tout se passe en JS, nous pouvons vérifier si le navigateur de l'utilisateur est vulnérable

• example_getFileHandle.html (Le bug fonctionne dans Google Chrome 86, 87 et 88. Il est corrigé dans la version 89+)

  CVE-2021-21172 - getFileHandle() - Enregistrer un fichier .lnk dans le dossier sélectionné

💻 Liens utiles

• L'API File System Access : simplifier l'accès aux fichiers locaux
• File System Access - Documentation
• API Web File System Access - Modèle de sécurité Chromium
• Code source Chromium - méthode de téléchargement par défaut bloquant les fichiers .lnk

🤝 Montrez votre soutien

Donnez une ⭐️ si vous avez aimé le contenu

✔️ Avertissement

Ce projet ne peut être utilisé qu'à des fins éducatives. Utiliser ce logiciel contre des systèmes cibles sans autorisation préalable est illégal, et tout dommage résultant d'une mauvaise utilisation de ce logiciel n'engage pas la responsabilité de l'auteur.