概要

製品: InputLeap v3.0.3
ベンダー: input-leap
脆弱性: パストラバーサル
CWE: CWE-22 パス名の制限されたディレクトリへの不適切な制限(「パストラバーサル」)

説明

InputLeapのドラッグ&ドロップハンドラーは、最後のパス区切り文字を探してその後の部分だけを保持することで、ファイル名をサニタイズしようとします。区切り文字が見つからない場合、C++の文字列検索は失敗を示すnposと呼ばれる特別な番兵値を返します。しかし、コードはこの番兵値をチェックせずに、その結果を算術計算で使用します。nposは符号なし整数の最大値として定義されているため、これを減算すると暗黙的にラップアラウンドし、完全に間違っているにもかかわらず有効に見える答えが生成されます。つまり、ファイル名だけを返す代わりに、サニタイズされていない元の文字列全体を返してしまいます。攻撃者はこれを悪用できます。あるエントリには区切り文字がなく、別のエントリには一致しない区切り文字が含まれるメッセージを作成すると、コードのグローバルな区切り文字検出ヒューリスティックが反転し、検索がサイレントに失敗し、..\..\AppData\...\Startup\evil.exeがそのまま通過します。その後、この文字列がドロップディレクトリに連結されてOSに渡され、OSは..シーケンスを解釈して、意図したフォルダの外にファイルを書き込みます。この脆弱性は、「見つからない」ケースに対する防御的チェックが欠けているために存在します。

再現手順

1. ターゲットで--enable-drag-dropを有効にします(オプトイン、デフォルトはOFF)。
2. 接続されたピアとして、埋め込まれたファイル名データのバッファ内のどこかに「/」文字を含む(スラッシュを「/」に強制するため)ドラッグ&ドロップのファイル転送メッセージを開始します。一方、実際のファイル名セグメントは「\」区切り文字を使用します。例えば、データブロブの前半に stray な「/」を埋め込み、ファイル名を「..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\evil.exe」とします。
3. DragInformation::parseDragInfoのfind_last_of(slash, ...)が、「\」で区切られたファイル名部分に対してnposを返し、符号なし算術のラップアラウンドを引き起こして、切り詰められていない完全なパスを返します。
4. DropHelper::writeToDirがこのパスをユーザーのドロップ先ディレクトリ(デフォルトはデスクトップ)に連結し、正規化なしでファイルを書き込み、Startupフォルダに配置します。
5. 次回のログイン時に、evil.exeが被害者ユーザーとして実行されます。

影響を受けるコード