📝 Descrizione

Google Chrome - File System Access API - vulnerabilità segnalate da Maciej Pulikowski

Ricompensa totale Bug Bounty: $5.000

Questa è la Proof of Concept per:

• [Google Security_Severity] CVE
• [ALTA] CVE-2021-21123
• [MEDIA] CVE-2021-21129
• [MEDIA] CVE-2021-21130
• [MEDIA] CVE-2021-21131
• [MEDIA] CVE-2021-21172
• [BASSA] CVE-2021-21141

Il principale problema di sicurezza qui è che la finestra di dialogo del sistema operativo "Salva con nome" lanciata da Google Chrome mostra all'utente l'estensione errata del file scaricato. Mostra "Salva come tipo: JPEG (.jpg)" ma scarica virus.jpg.lnk che può scaricare ed eseguire virus.exe tramite PowerShell.

Quindi è una sorta di spoofing dell'estensione del file scaricato.

I bug funzionano in Google Chrome 86 e 87 su Windows, Mac e Linux. Ovviamente, LNK funziona solo su Windows, ma possiamo cambiarlo con un'estensione diversa su Linux o Mac.

Post del blog di Google:

• https://chromereleases.googleblog.com/2021/01/stable-channel-update-for-desktop_19.html
• https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop.html

I bug menzionati sono "Segnalati da Maciej Pulikowski"

📺 Proof of Concept su Youtube

https://www.youtube.com/watch?v=l9swTtaRDNs

Grazie per il pollice in su 😀👍

👨‍💻 Codice PoC

Requisiti: Niente, devi solo eseguire un file HTML in una versione precedente di Google Chrome 86 o 87. Se vuoi testarlo con un file .lnk, devi creare un file FUD "lnkextra.lnk", perché non è incluso.

• example_showSaveFilePicker.html (I bug funzionano in Google Chrome 86 e 87. Sono stati corretti nella versione 88+)

  CVE-2021-21123, CVE-2021-21129, CVE-2021-21130, CVE-2021-21131, CVE-2021-21141

  Parco giochi dei miei esempi per showSaveFilePicker():

  • Salva file LNK e mostra salva come tipo: JPEG Image (*.jpg)
  • Molti spazi bianchi ed estensioni false nella descrizione
  • RTL nella descrizione
  • Descrizione molto lunga
  • Molti spazi nell'estensione
  • RTL nell'estensione
  • Estensione che termina con uno spazio
  • Estensione che termina con un punto
  • Salva file LNK in modo diverso
  • EXTRA - Poiché tutto avviene in JS, possiamo verificare se il browser dell'utente è vulnerabile

• example_getFileHandle.html (Il bug funziona in Google Chrome 86, 87 e 88. È stato corretto nella versione 89+)

  CVE-2021-21172 - getFileHandle() - Salva file .lnk nella cartella selezionata

💻 Link utili

• The File System Access API: semplificare l'accesso ai file locali
• File System Access - Documentazione
• File System Access Web API - Modello di sicurezza di Chromium
• Codice sorgente di Chromium - metodo di download predefinito che blocca i file .lnk

🤝 Mostra il tuo supporto

Lascia una ⭐️ se ti è piaciuto il contenuto

✔️ Dichiarazione di non responsabilità

Questo progetto può essere utilizzato solo per scopi educativi. Utilizzare questo software contro sistemi target senza autorizzazione preventiva è illegale, e l'autore non si assume alcuna responsabilità per eventuali danni derivanti dall'uso improprio di questo software.