Сводка

Продукт: InputLeap v3.0.3
Поставщик: input-leap
Уязвимость: Обход пути
CWE: CWE-22 Некорректное ограничение имени пути ограниченным каталогом ('Обход пути')

Описание

Обработчик перетаскивания InputLeap пытается очистить имена файлов, находя последний разделитель пути и оставляя только часть после него. Когда разделитель не найден, поиск в строке C++ возвращает специальное сигнальное значение npos, указывающее на неудачу. Однако код никогда не проверяет это сигнальное значение перед использованием результата в арифметических вычислениях. Поскольку npos определён как наибольшее возможное беззнаковое целое, вычитание из него беззвучно вызывает переполнение и даёт правдоподобный, но совершенно неверный результат: вместо возврата только имени файла возвращается вся неочищенная исходная строка. Злоумышленник может воспользоваться этим, создав сообщение, в котором одна запись не содержит разделителя, а другая содержит несовпадающий — глобальная эвристика обнаружения разделителей в коде переключается, поиск беззвучно завершается неудачей, и ....\AppData...\Startup\evil.exe проходит без изменений. Затем эта строка конкатенируется с каталогом назначения и передаётся ОС, которая интерпретирует последовательности .. и записывает файл за пределами предполагаемой папки. Уязвимость существует из-за отсутствия защитной проверки случая "не найдено".

Шаги воспроизведения

1. Включите --enable-drag-drop на цели (опционально, по умолчанию ВЫКЛ).
2. Как подключённый узел, инициируйте сообщение передачи файла перетаскиванием, встроенные данные имени файла которого содержат символ "/" где-то в буфере (чтобы принудительно установить slash="/"), в то время как фактический сегмент имени файла использует разделители "\", например, встроив посторонний "/" ранее в блок данных и имя файла "..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\evil.exe".