🤝 Проявите поддержку — поставьте ⭐️, если вам понравился контент | ПОДЕЛИТЬСЯ в Twitter | Следите за мной в

CVE-2022-0337 Утечка системных переменных окружения в Google Chrome, Microsoft Edge и Opera

📝 Описание

Успешная эксплуатация этой уязвимости может привести к утечке секретов пользователя, хранящихся в системных переменных окружения. Ошибка безопасности была обнаружена в версии Chromium 92 и исправлена в версии 97. Существует несколько веб-браузеров на основе движка Chromium, например, Google Chrome, Microsoft Edge, Opera и Brave. Все они были уязвимы, кроме Brave. Уязвимость находится в File System Access API, точнее в методе window.showSaveFilePicker().

Версия CVE: CVE-2022-0337

Автор: Maciej Pulikowski

Вознаграждение: $10,000 от Google VRP

Версии уязвимых веб-браузеров:

Проверьте версию вашего веб-браузера:

• Google Chrome: chrome://version/
• Microsoft Edge: edge://version/
• Opera: opera://update

Операционные системы:

ТОЛЬКО WINDOWS уязвимы. Linux и Mac безопасны.

📺 YouTube: доказательство концепции

https://www.youtube.com/watch?v=q7OIEWtalg8

Спасибо за лайки и подписки 😀👍

👨‍💻 Код доказательства концепции

Самый простой пример

1. Введите в ваших Devtools:

let a = await window.showSaveFilePicker({suggestedName:'%username%'});
a.name;

2. Сохраните файл
3. Должно отобразиться ваше имя пользователя

В примере используется переменная окружения %username%. Она возвращает имя пользователя Windows, вошедшего в систему. Кроме того, существует гораздо больше интересных переменных окружения:

Вот некоторые примеры:

• AWS_SECRET_ACCESS_KEY
• AZURE_CLIENT_SECRET
• binance_secret
• GITHUB_TOKEN
• GOOGLE_API_KEY

и многие другие...

Таким образом, злоумышленник может получить доступ к AWS-сервисам цели, аккаунту Github или токену Binance API (для вывода денег) и не только...

Смотрите больше секретов в переменных окружения в моём репозитории:

🦄🔒 Потрясающий список секретов в переменных окружения 🖥️

Созданный HTML с улучшениями

Предыдущий пример выполняется в локальных Devtools Google Chrome.

Очевидно, что злоумышленник может создать специальный HTML-файл (веб-сайт) для успешной эксплуатации этой уязвимости.

env.html — пример такого специально созданного HTML в этом репозитории.

Но действительно ли пользователю необходимо скачать файл?

Да, однако злоумышленник может создать веб-сайт, который побудит пользователя удерживать кнопку ENTER на клавиатуре в течение 2 секунд, чтобы запустить и принять диалог сохранения файла. Поскольку диалоговое окно Windows по умолчанию фокусируется на кнопке Save, файл будет сохранён в мгновение ока.

*.gif из Opera (Chrome и Edge уже исправлены)

В заключение, пользователь, удерживая кнопку ENTER на клавиатуре в течение 2 секунд, может привести к утечке своих системных переменных окружения. Это серьёзная проблема, поскольку пользователь может хранить важные секреты в системных переменных окружения, например, доступ к своим AWS-сервисам, аккаунту Github или Binance.

🧠 Что следует запомнить из статьи:

• Переменные окружения могут хранить секреты, например, токены, api-ключи, секреты
• если полезная нагрузка "%USERNAME%" или "$:USERNAME" или "${USERNAME}" или "$USER" возвращает реальное имя пользователя, то цель уязвима

🔨 Исправление в Chromium

Я поставил себе задачу исправить эту ошибку. Здесь хочу подчеркнуть, что я не C++-разработчик 😎.

источник: https://bugs.chromium.org/p/chromium/issues/detail?id=1247389#c9

Одно из решений заключалось в том, чтобы просто заменить символ % в suggestedName на _. Это должно решить проблему.

Моё решение:

можно вставить в:

https://source.chromium.org/chromium/chromium/src/+/main:content/browser/file_system_access/file_system_chooser.cc;l=238?q=ResolveSuggestedNameExtension&ss=chromium%2Fchromium%2Fsrc

и вот результаты:

До исправления:

После моего исправления:

Действительно, это решило проблему, но это было не лучшее место для вставки кода 😋. Однако я был очень рад, что мне удалось починить её самостоятельно 😎

Финальное исправление можно найти здесь:

https://bugs.chromium.org/p/chromium/issues/detail?id=1247389#c12

🌌 Хронология

• [07.09.2021, 10:40 PM GMT+2] Ошибка сообщена Maciej Pulikowski
• [07.09.2021, 11:36 PM GMT+2] Ошибка принята (Pri:1, Severity-High)
• [08.11.2021, 1:30 AM GMT+1] Моя отправка возможного исправления в исходном коде Chromium
• [10.12.2021, 6:09 PM GMT+1] Исправлено
• [7.01.2022, 2:09 AM GMT+1] Вознаграждение в размере $10,000
• [18.03.2022, 6:30 PM GMT+1] Google сняла ограничения на просмотр информации об уязвимости

💻 Полезные ссылки

• Issue 1247389: Безопасность: возможно увидеть системные переменные окружения пользователя, такие как секреты, токены или ключи
• 🦄🔒 Потрясающий список секретов в переменных окружения 🖥️
• File System Access API: упрощение доступа к локальным файлам
• File System Access — документация
• File System Access Web API — модель безопасности Chromium

🤝 Проявите поддержку

🤝 Проявите поддержку — поставьте ⭐️, если вам понравился контент | ПОДЕЛИТЬСЯ в Twitter | Следите за мной в

✔️ Отказ от ответственности

Этот проект может использоваться только в образовательных целях. Использование этого программного обеспечения против целевых систем без предварительного разрешения незаконно, и автор не несёт ответственности за любой ущерб, причинённый в результате неправомерного использования этого программного обеспечения.