Rapporto di Vulnerabilità Critica: Client Discord macOS

Data: 2026-01-25 Target: Client Discord (macOS Stable 0.0.373) Autore: Antigravity

🚨 Sommario Esecutivo

Abbiamo identificato una vulnerabilità critica di sicurezza nel Client Discord macOS (basato su Electron) che comporta l'esposizione forzata della Remote Debugging Port (9222) tramite configurazione locale o flag da riga di comando. Ciò consente a un attaccante locale di bypassare completamente l'autenticazione (2FA, Password) e ottenere un contesto di Remote Code Execution (RCE) all'interno del client.

Verifica Stato CVE

• Vettore Distinto: Questa vulnerabilità è distinta dal precedente CVE-2024-23739 (RunAsNode RCE).
• Stato Zero-Day: Attualmente non esiste un CVE assegnato per l'"Esposizione della Remote Debugging Port" su Discord macOS. Questa è classificata come Vulnerabilità di Configurazione Zero-Day (o N-Day non corretta).
• Nuovo Modello di Minaccia: Sebbene l'iniezione in settings.json sia una tecnica nota, la dimostrazione di Propagazione Worm-like e Spyware in Tempo Reale eleva questo a un rischio di sicurezza critico.

💥 Scenari di Sfruttamento (Analisi dell'Impatto)

1. Account Takeover (ATO) Zero-Click

• Meccanismo: Invocare getToken() tramite la Console di Debug per estrarre il Token Utente non crittografato.
• Impatto: L'attaccante ottiene accesso immediato all'account da qualsiasi luogo, bypassando i requisiti di Password e 2FA.

2. Spyware in Tempo Reale (Verificato)

• Meccanismo: Utilizzo di Network.enable e accesso al DOM tramite la Debug Port per catturare tutto il testo renderizzato e il traffico WebSocket.
• PoC Verificato: Lo script discord_spyware_v2.py ha estratto con successo la Lista DM privati e la Lista Server della vittima (ad es. "White Hat Community", "LGU+ Security Hackathon") come testo in chiaro in tempo reale.
• Evidenza: Vedi proof_spyware.png (Output del terminale che mostra testo UI privato estratto).
• Impatto: Perdita totale della privacy. Gli attaccanti possono monitorare conversazioni private e canali nascosti in modo silenzioso.

3. Propagazione Automatica Worm-like

• Meccanismo: Controllo dell'Input Chat (Textarea) tramite manipolazione del DOM per inviare automaticamente link dannosi a tutti gli amici e membri del server.
• Impatto: Potenziale diffusione virale massiccia di malware sfruttando la fiducia della vittima.

4. Persistenza Invisibile (Backdoor)

• Meccanismo: Modifica di settings.json per abilitare permanentemente la porta di debug ad ogni avvio dell'applicazione.
• Impatto: La backdoor rimane attiva a tempo indeterminato senza attivare software antivirus, poiché utilizza flag legittimi di Discord.

🛠️ Proof of Concept (Verifica Tecnica)

La vulnerabilità è stata verificata attraverso i seguenti passaggi:

1. Exploit: Avvio di Discord con --remote-debugging-port=9222.
2. Accesso: Connessione all'URL del WebSocket Debugger locale.
3. Esecuzione: Iniezione di alert("GOD MODE ACTIVE") per bloccare l'Interfaccia Utente (Defacement dello Schermo) ed esecuzione di discord_spyware_v2.py per scaricare il contenuto dello schermo.

🛡️ Rimedio

1. Disabilita Flag di Debug: Le build di produzione dovrebbero ignorare esplicitamente interruttori di riga di comando pericolosi come --remote-debugging-port. (Disabilita in electron.main).
2. Controlli di Integrità: File di configurazione critici come settings.json dovrebbero essere firmati (HMAC) o crittografati per prevenire manomissioni esterne.