🤝 Mostre seu apoio - dê uma ⭐️ se você gostou do conteúdo | COMPARTILHE no Twitter | Siga-me no

CVE-2022-0337 Vazamento de variáveis de ambiente do sistema no Google Chrome, Microsoft Edge e Opera

📝 Descrição

A exploração bem-sucedida dessa vulnerabilidade pode levar ao vazamento dos segredos do usuário armazenados em variáveis de ambiente do sistema. Um bug de segurança foi encontrado na versão 92 do Chromium e corrigido na versão 97. Existem vários navegadores baseados no mecanismo Chromium, por exemplo, Google Chrome, Microsoft Edge, Opera e Brave. Todos eles eram vulneráveis, exceto o Brave. A vulnerabilidade está na API File System Access, mais especificamente no método window.showSaveFilePicker().

Versão CVE: CVE-2022-0337

Créditos: Maciej Pulikowski

Recompensa: $10,000 do Google VRP

Versões vulneráveis dos navegadores web:

Verifique a versão do seu navegador:

• Google Chrome: chrome://version/
• Microsoft Edge: edge://version/
• Opera: opera://update

Sistemas Operacionais:

SOMENTE WINDOWS é vulnerável. Linux e Mac são seguros.

📺 Prova de Conceito no YouTube

https://www.youtube.com/watch?v=q7OIEWtalg8

Obrigado pelos likes e inscrições 😀👍

👨‍💻 Código de Prova de Conceito

O mais simples

1. Escreva no seu Devtools:

let a = await window.showSaveFilePicker({suggestedName:'%username%'});
a.name;

2. Salve o arquivo
3. Seu nome de usuário deve aparecer

No exemplo, é usada a variável de ambiente %username%. Ela retorna o nome de usuário do Windows que está conectado. Além disso, há muito mais variáveis de ambiente interessantes:

Aqui estão alguns exemplos:

• AWS_SECRET_ACCESS_KEY
• AZURE_CLIENT_SECRET
• binance_secret
• GITHUB_TOKEN
• GOOGLE_API_KEY

e muito mais...

Assim, o atacante poderia obter acesso aos serviços AWS do alvo, à conta do Github ou ao token da Binance para API (sacar dinheiro) e muito mais...

Confira mais segredos em variáveis de ambiente no meu repositório:

🦄🔒 Lista incrível de segredos em variáveis de ambiente 🖥️

HTML elaborado com melhorias

O exemplo anterior é executado no Devtools local do Google Chrome.

Obviamente, o atacante poderia criar um arquivo HTML especial (site) para explorar com sucesso essa vulnerabilidade.

env.html - é um exemplo de HTML especial elaborado no repositório.

Mas o usuário realmente precisa baixar um arquivo?

Sim, no entanto, o atacante pode criar um site para incentivar o usuário a segurar o botão ENTER no teclado por 2 segundos para executar e aceitar a caixa de diálogo de salvar arquivo. Como a caixa de diálogo do Windows foca no botão Salvar por padrão, o arquivo será salvo com apenas um piscar.

*.gif é do Opera (Chrome e Edge já estavam corrigidos)

Em conclusão, o usuário, após segurar o botão ENTER no teclado por 2 segundos, pode levar ao vazamento de suas variáveis de ambiente do sistema. Esse é um problema significativo, pois o usuário pode armazenar segredos importantes nas variáveis de ambiente do sistema, ex.: acesso aos seus serviços AWS, conta do Github ou Binance.

🧠 Coisas para lembrar deste relatório:

• Variáveis de ambiente podem armazenar segredos, ex.: tokens, api-key, segredos
• se o payload "%USERNAME%" ou "$:USERNAME" ou "${USERNAME}" ou "$USER" retornar o nome de usuário real, então o alvo está vulnerável

🔨 Correção no Chromium

Eu me desafiei a corrigir o bug. Aqui, gostaria de ressaltar que não sou desenvolvedor C++ 😎.

source: https://bugs.chromium.org/p/chromium/issues/detail?id=1247389#c9

Uma das soluções foi simplesmente substituir o caractere % em suggestedName por _ . Isso deveria resolver o problema.

Minha solução:

poderia ser inserido em:

https://source.chromium.org/chromium/chromium/src/+/main:content/browser/file_system_access/file_system_chooser.cc;l=238?q=ResolveSuggestedNameExtension&ss=chromium%2Fchromium%2Fsrc

e os resultados são:

Antes da correção:

Depois da minha correção:

De fato, isso resolveu o problema, mas não era o melhor lugar para inserir o código 😋. No entanto, fiquei muito feliz por conseguir corrigi-lo sozinho 😎

A correção final pode ser encontrada aqui:

https://bugs.chromium.org/p/chromium/issues/detail?id=1247389#c12

🌌 Linha do tempo

• [07.09.2021, 10:40 PM GMT+2] Bug relatado por Maciej Pulikowski
• [07.09.2021, 11:36 PM GMT+2] Bug aceito (Pri:1, Severidade-Alta)
• [08.11.2021, 1:30 AM GMT+1] Minha submissão de possível correção no código-fonte do Chromium
• [10.12.2021, 6:09 PM GMT+1] Corrigido
• [7.01.2022, 2:09 AM GMT+1] Recompensa de $10,000
• [18.03.2022, 6:30 PM GMT+1] Google removeu as restrições de visualização de segurança

💻 Links úteis

• Issue 1247389: Segurança: Possível ver as variáveis de ambiente do sistema do usuário, como segredos, tokens ou chaves
• 🦄🔒 Lista incrível de segredos em variáveis de ambiente 🖥️
• A API File System Access: simplificando o acesso a arquivos locais
• File System Access - Documentação
• File System Access Web API - Modelo de Segurança do Chromium

🤝 Mostre seu apoio

🤝 Mostre seu apoio - dê uma ⭐️ se você gostou do conteúdo | COMPARTILHE no Twitter | Siga-me no

✔️ Isenção de responsabilidade

Este projeto só pode ser usado para fins educacionais. Usar este software contra sistemas alvo sem permissão prévia é ilegal, e quaisquer danos decorrentes do mau uso deste software não serão de responsabilidade do autor.