📝 Описание

Google Chrome — File System Access API — уязвимости, сообщённые Maciej Pulikowski

Общая сумма вознаграждения Bug Bounty: $5.000

Это Proof of Concept для:

• [Google Security_Severity] CVE
• [ВЫСОКИЙ] CVE-2021-21123
• [СРЕДНИЙ] CVE-2021-21129
• [СРЕДНИЙ] CVE-2021-21130
• [СРЕДНИЙ] CVE-2021-21131
• [СРЕДНИЙ] CVE-2021-21172
• [НИЗКИЙ] CVE-2021-21141

Основная проблема безопасности здесь в том, что системный диалог «Save as», запускаемый Google Chrome, показывает пользователю неправильное расширение загружаемого файла. Он показывает «Save as type: JPEG (.jpg)», но загружает virus.jpg.lnk, который может загрузить и запустить virus.exe с помощью PowerShell.

Таким образом, это своего рода подмена расширения загружаемого файла.

Ошибки работают в Google Chrome 86 и 87 в Windows, Mac и Linux. Конечно, LNK работает только в Windows, но мы можем заменить его на другое расширение в Linux или Mac.

Посты в блоге Google:

• https://chromereleases.googleblog.com/2021/01/stable-channel-update-for-desktop_19.html
• https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop.html

Упомянутые ошибки — «Сообщено Maciej Pulikowski»

📺 YouTube PoC

https://www.youtube.com/watch?v=l9swTtaRDNs

Спасибо за лайк 😀👍

👨‍💻 Код PoC

Требования: Ничего, вам просто нужно запустить HTML-файл в старой версии Google Chrome 86 или 87. Если вы хотите протестировать его с файлом .lnk, вам нужно создать FUD-файл «lnkextra.lnk», потому что он не прилагается.

• example_showSaveFilePicker.html (Ошибки работают в Google Chrome 86 и 87. Они исправлены в 88+)

  CVE-2021-21123, CVE-2021-21129, CVE-2021-21130, CVE-2021-21131, CVE-2021-21141

  Мои примеры для showSaveFilePicker():

  • Сохранить LNK-файл и показать «Save as type: JPEG Image (*.jpg)»
  • Много пробелов и фальшивых расширений в описании
  • RTL в описании
  • Очень длинное описание
  • Много пробелов в расширении
  • RTL в расширении
  • Расширение заканчивается пробелом
  • Расширение заканчивается точкой
  • Сохранить LNK-файл другим способом
  • EXTRA — Поскольку всё происходит в JS, мы можем проверить, уязвим ли браузер пользователя

• example_getFileHandle.html (Ошибка работает в Google Chrome 86, 87 и 88. Она исправлена в 89+)

  CVE-2021-21172 - getFileHandle() - сохранить .lnk-файл в выбранную папку

💻 Полезные ссылки

• File System Access API: упрощение доступа к локальным файлам
• File System Access — документация
• File System Access Web API — модель безопасности Chromium
• Исходный код Chromium — метод загрузки по умолчанию, блокирующий файл .lnk

🤝 Выразите свою поддержку

Поставьте ⭐️, если вам понравился контент

✔️ Отказ от ответственности

Этот проект может использоваться только в образовательных целях. Использование данного программного обеспечения против целевых систем без предварительного разрешения незаконно, и автор не несёт ответственности за любой ущерб, причинённый в результате неправильного использования этого программного обеспечения.