Slippy-book: EPUBファイル解析におけるディレクトリトラバーサルによるリモートコード実行

CVE-2023-44451 (Xreader)、CVE-2023-52076(Atril)(予約済み):

Mint、Kali、Parrot、Manjaroなどを含む人気のLinuxディストリビューションに影響するRCE脆弱性。EPUBファイル解析におけるディレクトリトラバーサルによるリモートコード実行

LinuxのMATE/およびLinux Mintのデフォルトドキュメントビューアソフトウェアに、重大なパストラバーサルおよび任意ファイル書き込みの脆弱性が発見されました。これは、Kali Linux、Parrot Security OS、Ubuntu-Mate、Linux Mint、Xubuntuなど、MATEまたはAtril/Xreaderをデフォルトのドキュメントビューアとして使用するすべてのオペレーティングシステムに影響します。

この脆弱性は、MATE環境のデフォルトドキュメントビューアであるAtril Document Viewerと、Linux MintのデフォルトドキュメントビューアであるXreader Document Viewerに存在します。AtrilはKali Linux、Ubuntu-Mate、Parrot Security OS、Xubuntuのデフォルトドキュメントリーダーであり、XreaderはLinux Mintのデフォルトドキュメントリーダーです。

この脆弱性により、細工されたドキュメントを開くユーザーがアクセス権を持つファイルシステム上の任意の場所に任意のファイルを書き込むことが可能です。唯一の制限は、既存のファイルを上書きできないことですが、それでも攻撃者がターゲットシステム上でリモートコマンド実行を達成することを妨げるものではありません。

[+] リモートコマンド実行の達成:

この脆弱性は既存のファイルを上書きすることはできず、指定された任意の場所に新しいファイルを作成することしかできませんが、それでもRCEを達成することを妨げるものではありません。私はこの脆弱性を利用して、$HOME/.config/autostart配下に.desktopエントリを書き込むことを試し、その後ログアウトして再ログインしたところ、悪意のある.desktopエントリがトリガーされ、リモートコマンド実行を達成できました。また、.ssh/ディレクトリ配下にauthorized_keysファイルを配置し、SSH経由でのRCEも達成しました。 注: ディレクトリが存在しない場合、自動的にディレクトリが作成されます。

Ebook形式を知っている人はいるでしょうか？ 誰もがPDFに切り替えたわけではないのですか？

答えはノーです。EPUBは依然として人気があり強力なドキュメント形式ですが、多くの人はPDFを好みます。ほとんどの人がPDFに慣れ親しんでいます。そこで、私はこの脆弱性の影響を最大化しようと試みました。 もう一つ興味深いことに気づいたのは、.epubドキュメントをsomething.pdfにリネームすると、脆弱なドキュメントビューア(Atril/Xreader)がsomething.pdfファイルを開こうとし、それをEPUBドキュメントとして読み込むことです。これは、このビューアがEPUBとPDFの両方を読み取る役割を担っており、他にも多くのドキュメント形式をサポートしているためです。言い換えれば、細工したsomething.epubをsomething.pdfにリネームしてターゲットに送信することで、ターゲット上でRCEを達成できます。

つまり、すべて問題ありません。悪意のある.desktopエントリを/home//.config/autostart/ディレクトリ配下に書き込むためのepub/pdfペアを作成するエクスプロイトを作成できます。しかし、小さな問題があります。このバグを悪用して成功させるには、ターゲットユーザーのユーザー名が必要です。ユーザー名がわからない場合はどうすればよいでしょうか？ 簡単なRCEはないのでしょうか？ ユーザー名を推測できるでしょうか？ 一般的なユーザー名をランダムに試す必要があるでしょうか？ 私が得た結果を見てみましょう..