nitroshare のパストラバーサル脆弱性

説明

NitroShare Desktop v0.3.4 は、LAN ファイル転送サーバーにパストラバーサル脆弱性が存在します。サーバーは認証なしで全ネットワークインターフェース（ポート 40818）で待ち受けます。ファイルを受信する際、送信者の JSON アイテムヘッダーにある name フィールドは、解決されたパスが転送ルートディレクトリ C:\UserName\Downloads\NitroShare 内に留まるかどうかを検証せずに渡されます。同じ LAN 上の攻撃者は、../（古典的なドットドットスラッシュ攻撃）シーケンスを含む細工されたファイル名を送信することで、現在のユーザーがアクセスできる任意の場所にファイルを書き込むことができます。これには、次回ログイン時にコードを実行するための Windows スタートアップフォルダも含まれます（そのため、作成された POC があります）。ユーザーの操作は不要です。さらに、TLS はデフォルトで無効（アプリケーションが提供する認証方法）であるため、デフォルトでは認証が不要です。IT および情報セキュリティの分野で長年働いてきた経験から、ほとんどのユーザーがそのまま（無効の状態で）使用するだろうと私は想定しています。

再現手順

1. LAN から NitroShare の転送サーバー（TCP ポート 40818）に接続します。
2. JSON 転送ヘッダーパケットを送信します: {"name":"attacker","size":"<n>","count":"1"}。
3. パストラバーサルファイル名を含む JSON アイテムヘッダーパケットを送信します:
   root@kitploit:~

   {"name":"../../AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/payload.exe","directory":false,"created":"0","last_modified":"0","last_read":"0","size":"<n>"}
   

4. 悪意のあるファイルコンテンツを含むバイナリパケットを送信します。
5. ファイルはダウンロードディレクトリの外部の、攻撃者が選択したパスに書き込まれます。
6. スタートアップフォルダを標的とした場合、ペイロードは次回のユーザーログイン時に自動的に実行されます。