febinrev/slippy-book-exploitCVE-2023-44451, CVE-2023-52076: Уязвимость RCE, затрагивающая популярные дистрибутивы Linux, включая Mint, Kali, Parrot, Manjaro и др. Обход каталога при разборе EPUB-файлов и удалённое выполнение кода
Уязвимость RCE затрагивает популярные дистрибутивы Linux, включая Mint, Kali, Parrot, Manjaro и другие. Обход каталога при разборе EPUB-файлов с удалённым выполнением кода
Критическая уязвимость обхода пути и произвольной записи файлов была обнаружена в стандартном программном обеспечении для просмотра документов в среде MATE и Linux Mint, затрагивающая популярные операционные системы, такие как Kali Linux, Parrot Security OS, Ubuntu-Mate, Linux Mint, Xubuntu и все другие операционные системы, использующие MATE или Atril/Xreader в качестве просмотрщика документов по умолчанию.
Уязвимость существует в Atril Document Viewer и Xreader Document Viewer, которые являются просмотрщиками документов по умолчанию для среды MATE и Linux Mint соответственно. Atril — это программа чтения документов по умолчанию для Kali Linux, Ubuntu-Mate, Parrot Security OS и Xubuntu, а Xreader — программа чтения документов по умолчанию для Linux Mint.
Эта уязвимость позволяет записывать произвольные файлы в любом месте файловой системы, к которому имеет доступ пользователь, открывающий специально созданный документ. Единственным ограничением является то, что эту уязвимость нельзя использовать для перезаписи существующих файлов, но это не мешает злоумышленнику добиться удалённого выполнения команд на целевой системе.
Эту уязвимость нельзя использовать для перезаписи существующих файлов, она может только создавать новые файлы в любых указанных местах, но это не мешает нам добиться RCE. Я попробовал использовать уязвимость для записи записи .desktop в каталог $HOME/.config/autostart, а затем вышел из системы и снова вошёл — вредоносная запись .desktop сработала, и я получил удалённое выполнение команд. Я также попробовал разместить файл authorized_keys в каталоге .ssh/ и добился RCE через SSH. Примечание: Если каталог отсутствует, он будет создан автоматически.
Кто знает о формате Ebook? Разве все не перешли на PDF?
Ответ — нет, EPUB по-прежнему является популярным и мощным форматом документов, но многие люди предпочитают PDF. Большинство из них знакомы с PDF. Поэтому я пытался максимизировать воздействие этой уязвимости. Ещё одна интересная вещь, которую я заметил: при переименовании документа .epub в что-то.pdf уязвимый просмотрщик документов (Atril/Xreader) пытается открыть файл что-то.pdf и читает его как документ EPUB, потому что он отвечает за чтение как EPUB, так и PDF, а также поддерживает множество других форматов документов. Другими словами, мы можем переименовать наш специально созданный файл что-то.epub в что-то.pdf и затем отправить его цели, чтобы добиться RCE на целевой системе.
Итак, всё хорошо, мы могли бы создать эксплойт, который создаст пару epub/pdf для записи вредоносных записей .desktop в каталог /home//.config/autostart/. Но есть небольшая проблема: для успешной эксплуатации этой ошибки требуется имя пользователя цели. Что, если мы не знаем имя пользователя? Нет лёгкого RCE? Можете ли вы угадать имя пользователя? Нужно ли пробовать случайные распространённые имена пользователей? Давайте посмотрим, что у меня получилось..
При дальнейшем анализе я обнаружил, что мы можем использовать /proc/self/cwd для доступа к домашнему каталогу пользователя, если он загрузит специально созданный документ и откроет его где-нибудь в своём домашнем каталоге, например в каталогах ~/Downloads/, ~/Documents/. Таким образом, мы можем использовать ошибку обхода пути для достижения RCE, просто используя гаджет ../../../../../proc/self/cwd/../.config/autostart/exploit.desktop.
Я создал полностью рабочий эксплойт для этой уязвимости (exploit_rce.sh) и скрипт для записи и включения пользовательских файлов для обхода пути (exploit_file_write.sh).
ПРИМЕЧАНИЕ: В Atril из MATE уязвимость не исправлена, разработчики патчат уязвимость. Поэтому я добавил скрипт обнаружения (detect.sh) для обнаружения вредоносных EPUB-документов и их очистки перед открытием.
