Vulnerabilità di Path Traversal in nitroshare

Descrizione

NitroShare Desktop v0.3.4 contiene una vulnerabilità di path traversal nel suo server di trasferimento file LAN. Il server resta in ascolto su tutte le interfacce di rete (porta 40818) senza autenticazione. Quando riceve file, il campo name dell'intestazione dell'elemento JSON del mittente viene passato senza verificare che il percorso risolto rimanga all'interno della directory root di trasferimento, C:\UserName\Downloads\NitroShare. Un attaccante sulla stessa LAN può inviare un nome di file appositamente modificato contenente sequenze ../ (classico attacco dot dot slash) per scrivere file ovunque l'utente corrente abbia accesso, inclusa la cartella Startup di Windows per l'esecuzione di codice al prossimo accesso (da qui il POC creato). Nessuna interazione dell'utente è richiesta. Inoltre, TLS è disabilitato per impostazione predefinita (il metodo di autenticazione offerto dall'applicazione), il che significa che per impostazione predefinita non è richiesta alcuna autenticazione, cosa che presumo la maggior parte degli utenti farà, sulla base di anni di lavoro nell'IT e nella sicurezza delle informazioni.

Passaggi per la riproduzione

1. Connettersi al server di trasferimento di NitroShare sulla porta TCP 40818 dalla LAN.
2. Inviare un pacchetto di intestazione di trasferimento JSON: {"name":"attacker","size":"<n>","count":"1"}.
3. Inviare un pacchetto di intestazione dell'elemento JSON con un nome di file path traversal:
   root@kitploit:~

   {"name":"../../AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/payload.exe","directory":false,"created":"0","last_modified":"0","last_read":"0","size":"<n>"}
   

4. Inviare uno o più pacchetti binari contenenti il contenuto del file dannoso.
5. Il file viene scritto al di fuori della directory di download nel percorso scelto dall'attaccante.
6. Se si punta alla cartella Startup, il payload viene eseguito automaticamente al successivo accesso dell'utente.

Viene fornito un PoC funzionante (poc_path_traversal_via_lan_transfer___arbitrary_file_w.py) ed è stato verificato contro NitroShare 0.3.4 su Windows.

Rimedio suggerito

1. Sanificare i nomi di file ricevuti — Rimuovere o rifiutare i separatori di percorso (/, \) e le sequenze ... Dopo la risoluzione con QDir::absoluteFilePath(), verificare che il risultato inizi con la directory root di trasferimento prima di procedere.
2. Richiedere una password o abilitare TLS per impostazione predefinita — Distribuire con TLS abilitato e generare automaticamente i certificati al primo avvio, oppure creare l'opzione per una password.
3. Aggiungere un prompt di approvazione del trasferimento — Chiedere conferma all'utente prima di scrivere su disco i file ricevuti.
4. Implementare l'autenticazione — Richiedere un meccanismo di abbinamento (segreto condiviso, codice QR o scambio di certificati) prima di accettare trasferimenti.

Cronologia della divulgazione

• 13 aprile 2026 - Contattato lo sviluppatore tramite e-mail pubblicata sul repository GitHub. Nessuna risposta.
• 19 aprile 2026 - Secondo tentativo. Nessuna risposta.
• 3 maggio 2026 - Terzo tentativo. Nessuna risposta.
• 22 luglio 2026 - Assegnato NotCVE-2026-0009
• 28 luglio 2026 - Assegnato CVE-2026-66050