Warp Terminal RCE (CVE-2024-41997)

サニタイズされていない warp:// URIスキームハンドラを介したコマンドインジェクション。詳細な解説は 0day.gg にあります。

概要

脆弱性

Warp は Docker 統合のためにカスタム warp:// URIスキームを登録しています。/docker/open_subshell アクションは shell パラメータを受け入れ、このパラメータはサニタイズされることなくコマンド文字列に組み込まれます:

warp://action/docker/open_subshell?container_id=0&shell=INJECTION

container_id は16進文字に制限されていますが、実行中のコンテナに対して検証されません。shell パラメータは任意の入力を受け入れるため、シェルのメタ文字によるコマンドインジェクションが可能になります。

使用方法

1. pwn.html をWebサーバーでホストするか、ローカルで開きます
2. Warp の実行中にターゲットがリンクをクリックします
3. ペイロードが Docker デーモンの権限で実行されます

同梱の PoC は id の出力を /tmp/hax に書き込み、攻撃を隠蔽するために Warp を終了させます。

ファイル