📝 Descrição

Google Chrome - File System Access API - vulnerabilidades reportadas por Maciej Pulikowski

Recompensa Total de Bug Bounty: $5.000

Esta é uma prova de conceito para:

• [Google Security_Severity] CVE
• [ALTA] CVE-2021-21123
• [MÉDIA] CVE-2021-21129
• [MÉDIA] CVE-2021-21130
• [MÉDIA] CVE-2021-21131
• [MÉDIA] CVE-2021-21172
• [BAIXA] CVE-2021-21141

O principal problema de segurança aqui é que a caixa de diálogo do sistema operacional "Salvar como" iniciada pelo Google Chrome mostra ao usuário a extensão de arquivo errada do arquivo baixado. Ela mostra "Salvar como tipo: JPEG (.jpg)", mas baixa virus.jpg.lnk que pode baixar e executar virus.exe via PowerShell.

Então, é um tipo de falsificação da extensão do arquivo baixado.

Os bugs funcionam no Google Chrome 86 e 87 no Windows, Mac e Linux. É claro, LNK funciona apenas no Windows, mas podemos alterá-lo para uma extensão diferente no Linux ou Mac.

Publicações do Blog do Google:

• https://chromereleases.googleblog.com/2021/01/stable-channel-update-for-desktop_19.html
• https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop.html

Os bugs mencionados são "Reportados por Maciej Pulikowski"

📺 Prova de Conceito no Youtube

https://www.youtube.com/watch?v=l9swTtaRDNs

Obrigado pelo joinha 😀👍

👨‍💻 Código PoC

Requisitos: Nada, você só precisa executar um arquivo HTML em uma versão mais antiga do Google Chrome 86 ou 87. Se quiser testar com um arquivo .lnk, você precisa criar o arquivo FUD "lnkextra.lnk", porque ele não está incluído.

• example_showSaveFilePicker.html (Os bugs funcionam no Google Chrome 86 e 87. Eles foram corrigidos na versão 88+)

  CVE-2021-21123, CVE-2021-21129, CVE-2021-21130, CVE-2021-21131, CVE-2021-21141

  Ambiente de testes dos meus exemplos para showSaveFilePicker():

  • Salvar arquivo LNK e mostrar "Salvar como tipo: Imagem JPEG (*.jpg)"
  • Muitos espaços em branco e extensões falsas na descrição
  • RTL na descrição
  • Descrição super longa
  • Muitos espaços na extensão
  • RTL na extensão
  • Extensão termina com espaço
  • Extensão termina com ponto final
  • Salvar arquivo LNK de uma forma diferente
  • EXTRA - Como tudo acontece em JS, podemos verificar se o navegador do usuário é vulnerável

• example_getFileHandle.html (O bug funciona no Google Chrome 86, 87 e 88. Ele foi corrigido na versão 89+)

  CVE-2021-21172 - getFileHandle() - Salvar arquivo .lnk na pasta selecionada

💻 Links úteis

• A API File System Access: simplificando o acesso a arquivos locais
• File System Access - Documentação
• File System Access Web API - Modelo de Segurança do Chromium
• Código-fonte do Chromium - método de download padrão bloqueando arquivo .lnk

🤝 Mostre seu apoio

Dê uma ⭐️ se você gostou do conteúdo

✔️ Aviso Legal

Este projeto só pode ser usado para fins educacionais. Usar este software contra sistemas alvo sem permissão prévia é ilegal, e quaisquer danos decorrentes do mau uso deste software não serão de responsabilidade do autor.