🤝 Montrez votre soutien - donnez une ⭐️ si vous avez aimé le contenu | PARTAGER sur Twitter | Suivez-moi sur

CVE-2022-0337 Fuite de variables d'environnement système sur Google Chrome, Microsoft Edge et Opera

📝 Description

L'exploitation réussie de cette vulnérabilité peut entraîner la fuite des secrets de l'utilisateur stockés dans les variables d'environnement système. Un bug de sécurité a été trouvé dans la version 92 de Chromium et corrigé dans la version 97. Il existe plusieurs navigateurs web basés sur le moteur Chromium, par exemple Google Chrome, Microsoft Edge, Opera et Brave. Tous étaient vulnérables, à l'exception de Brave. La vulnérabilité se situe dans l'API File System Access, plus précisément dans la méthode window.showSaveFilePicker().

Version CVE : CVE-2022-0337

Crédits : Maciej Pulikowski

Récompense : 10 000 $ de Google VRP

Versions des navigateurs web vulnérables :

Vérifiez la version de votre navigateur web :

• Google Chrome : chrome://version/
• Microsoft Edge : edge://version/
• Opera : opera://update

Systèmes d'exploitation :

SEUL WINDOWS est vulnérable. Linux et Mac sont sûrs.

📺 Preuve de concept YouTube

https://www.youtube.com/watch?v=q7OIEWtalg8

Merci pour les pouces bleus et les abonnements 😀👍

👨‍💻 Preuve de concept en code

La plus simple

1. Écrivez dans vos Devtools :

let a = await window.showSaveFilePicker({suggestedName:'%username%'});
a.name;

2. Enregistrez le fichier
3. Votre nom d'utilisateur devrait apparaître

Dans l'exemple, une variable d'environnement %username% est utilisée. Elle renvoie le nom d'utilisateur Windows connecté. De plus, il existe de nombreuses autres variables d'environnement plus intéressantes :

Voici quelques exemples :

• AWS_SECRET_ACCESS_KEY
• AZURE_CLIENT_SECRET
• binance_secret
• GITHUB_TOKEN
• GOOGLE_API_KEY

et bien d'autres...

Ainsi, l'attaquant pourrait obtenir un accès aux services AWS de la cible, à son compte Github ou au jeton Binance pour l'API (retirer de l'argent), et plus encore...

Découvrez plus de secrets dans les variables d'environnement sur mon dépôt :

🦄🔒 Liste géniale de secrets dans les variables d'environnement 🖥️

HTML élaboré avec des améliorations

L'exemple précédent est exécuté dans les Devtools locaux de Google Chrome.

Évidemment, l'attaquant pourrait élaborer un fichier HTML spécial (site web) pour exploiter avec succès cette vulnérabilité.

env.html - est un exemple de HTML spécial élaboré dans le dépôt.

Mais, l'utilisateur est-il vraiment obligé de télécharger un fichier ?

Oui, cependant, l'attaquant peut créer un site web pour encourager l'utilisateur à maintenir la touche ENTRÉE du clavier enfoncée pendant 2 secondes pour exécuter et accepter la boîte de dialogue d'enregistrement du fichier. Comme la boîte de dialogue Windows met par défaut le focus sur le bouton Enregistrer, le fichier sera enregistré en un simple clignement.

*.gif provient d'Opera (Chrome et Edge étaient déjà corrigés)

En conclusion, un utilisateur qui maintient la touche ENTRÉE du clavier enfoncée pendant 2 secondes pourrait entraîner la fuite de ses variables d'environnement système. C'est un problème important car l'utilisateur pourrait stocker des secrets importants dans les variables d'environnement système, par ex. l'accès à ses services AWS, son compte Github ou Binance.

🧠 Points à retenir de l'analyse :

• Les variables d'environnement peuvent stocker des secrets, par ex. jetons, clés API, secrets
• si le payload "%USERNAME%" ou "$:USERNAME" ou "${USERNAME}" ou "$USER" renvoie le véritable nom d'utilisateur, alors la cible est vulnérable

🔨 Correction dans Chromium

Je me suis donné comme défi de réparer le bug. Ici, je tiens à souligner que je ne suis pas un développeur C++ 😎.

source : https://bugs.chromium.org/p/chromium/issues/detail?id=1247389#c9

Une des solutions consistait à simplement remplacer le caractère % dans suggestedName par _ . Cela devrait résoudre le problème.

Ma solution :

pourrait être inséré dans :

https://source.chromium.org/chromium/chromium/src/+/main:content/browser/file_system_access/file_system_chooser.cc;l=238?q=ResolveSuggestedNameExtension&ss=chromium%2Fchromium%2Fsrc

et les résultats sont :

Avant la correction :

Après ma correction :

En effet, cela a résolu le problème, mais ce n'était pas le meilleur endroit pour insérer le code 😋. Cependant, j'étais très heureux d'avoir réussi à le réparer par moi-même 😎.

La correction finale se trouve ici :

https://bugs.chromium.org/p/chromium/issues/detail?id=1247389#c12

🌌 Chronologie

• [07.09.2021, 10:40 PM GMT+2] Bug signalé par Maciej Pulikowski
• [07.09.2021, 11:36 PM GMT+2] Bug accepté (Pri:1, Severity-High)
• [08.11.2021, 1:30 AM GMT+1] Ma soumission d'une correction possible dans le code source de Chromium
• [10.12.2021, 6:09 PM GMT+1] Corrigé
• [7.01.2022, 2:09 AM GMT+1] Récompense de 10 000 $
• [18.03.2022, 6:30 PM GMT+1] Google a supprimé les restrictions de la vue de sécurité

💻 Liens utiles

• Problème 1247389 : Sécurité : Possibilité de voir les variables d'environnement système de l'utilisateur comme les secrets, jetons ou clés
• 🦄🔒 Liste géniale de secrets dans les variables d'environnement 🖥️
• L'API File System Access : simplifier l'accès aux fichiers locaux
• File System Access - Documentation
• API Web File System Access - Modèle de sécurité Chromium

🤝 Montrez votre soutien

🤝 Montrez votre soutien - donnez une ⭐️ si vous avez aimé le contenu | PARTAGER sur Twitter | Suivez-moi sur

✔️ Avertissement

Ce projet ne peut être utilisé qu'à des fins éducatives. L'utilisation de ce logiciel contre des systèmes cibles sans autorisation préalable est illégale, et tout dommage résultant d'une mauvaise utilisation de ce logiciel ne relèvera pas de la responsabilité de l'auteur.