요약

제품: InputLeap v3.0.3
공급업체: input-leap
취약점: 경로 순회(Path Traversal)
CWE: CWE-22 제한된 디렉터리로의 경로명 제한 부적절('경로 순회')

설명

InputLeap의 드래그 앤 드롭 핸들러는 마지막 경로 구분자를 찾아 그 뒤 부분만 유지하는 방식으로 파일명을 정제하려고 시도합니다. 구분자가 발견되지 않으면 C++ 문자열 검색은 실패를 나타내는 특수한 센티널 값인 npos를 반환합니다. 그러나 코드는 산술 계산에 그 결과를 사용하기 전에 이 센티널 값을 검사하지 않습니다. npos는 가능한 가장 큰 부호 없는 정수로 정의되므로, 이를 빼면 조용히 랩어라운드가 발생하여 완전히 잘못되었지만 그럴듯해 보이는 답을 만들어냅니다. 즉, 파일명만 반환하는 대신 정제되지 않은 원본 문자열 전체를 반환합니다. 공격자는 한 항목에는 구분자가 없고 다른 항목에는 일치하지 않는 구분자가 포함된 메시지를 조작하여 이를 악용할 수 있습니다. 코드의 전역 구분자 감지 휴리스틱이 뒤집히고, 검색이 조용히 실패하며, ....\AppData...\Startup\evil.exe가 그대로 통과합니다. 그런 다음 이 문자열이 드롭 디렉터리에 연결되어 OS에 전달되고, OS는 .. 시퀀스를 해석하여 의도한 폴더 밖에 파일을 씁니다. 이 취약점은 "찾을 수 없음" 경우에 대한 방어적 검사가 누락되어 있기 때문에 존재합니다.

재현 단계

1. 대상에서 --enable-drag-drop을 활성화합니다(옵트인, 기본값 OFF).
2. 연결된 피어로서, 내장된 파일명 데이터가 버퍼 어딘가에 "/" 문자를 포함하여(슬래시="/"를 강제하기 위해) 실제 파일명 세그먼트는 "\" 구분자를 사용하는 드래그 앤 드롭 파일 전송 메시지를 시작합니다. 예를 들어 데이터 블롭 앞부분에 우연한 "/"를 삽입하고 파일명을 "..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\evil.exe"로 설정합니다.
3. DragInformation::parseDragInfo의 find_last_of(slash, ...)가 "\"로 구분된 파일명 부분에 대해 npos를 반환하여, 부호 없는 산술 랩어라운드를 일으키고 잘리지 않은 전체 경로를 반환합니다.
4. DropHelper::writeToDir가 이 경로를 사용자의 드롭 대상 디렉터리(기본값 Desktop)에 연결하고 정규화 없이 파일을 써서 Startup 폴더에 배치합니다.
5. 다음 로그인 시 evil.exe가 피해자 사용자로 실행됩니다.

영향받는 코드

/src/lib/inputleap/DragInformation.cpp
/src/lib/inputleap/DropHelper.cpp

개념 증명 또는 집에 가라