febinrev/atril_cbt-inject-exploitCVE-2023-44452、CVE-2023-51698：影响主流 Linux 发行版的 CBT 文件解析参数注入漏洞
一个影响使用 MATE、Cinnamon 及部分 Xfce 桌面环境的流行 Linux 操作系统的严重一键 RCE/命令注入漏洞。
受影响的操作系统：
Linux Mint Kali Linux（安全专业人员、研究人员中流行的操作系统） Parrot OS（安全专业人员、研究人员中流行的操作系统） Ubuntu-Mate Xubuntu Fedora Cinnamon Fedora Mate Manjaro Mate Manjaro Cinnamon Ubuntu Kylin（中国官方 Ubuntu） Kylin OS V10（据称用于中国政府部门的操作系统）
以及其他 MATE、Cinnamon 及部分 Xfce 桌面环境。
受影响的软件组件：包括最新版本在内的所有版本的 Atril 文档查看器（MATE 环境的默认文档阅读器，最流行的文档阅读器之一）和 Xreader 文档查看器（Linux Mint 中的默认文档阅读器）
漏洞摘要：
该漏洞允许远程攻击者在受影响的 Linux Mint Xreader 安装上执行任意代码。利用此漏洞需要用户交互，即目标必须访问恶意页面或打开恶意文件。
该特定缺陷存在于 CBT 文件的解析过程中。问题源于在使用用户提供的字符串执行系统调用之前，缺乏对其的正确验证。攻击者可以利用此漏洞在当前用户的上下文中执行代码。
该漏洞是由于 Atril 和 Xreader 中负责处理漫画文档（.cbr、.cbz、.cbt、.cb7）的代码段存在缺陷所致。漫画文档实际上只是包含图片的压缩包。此处的漏洞可以通过恶意构造的 CBT 文档（即 TAR 压缩包）来利用。
根本原因——两个文档查看器中的易受攻击代码段（comics-document.c）：
static const ComicBookDecompressCommand command_usage_def[] = {
/* RARLABS unrar */
{"%s p -c- -ierr --", "%s vb -c- -- %s", NULL , FALSE, NO_OFFSET},
/* GNA! unrar */
{NULL , "%s t %s" , "%s -xf %s %s" , FALSE, NO_OFFSET},
/* unzip */
{"%s -p -C --" , "%s %s" , NULL , TRUE , OFFSET_ZIP},
/* 7zip */
{NULL , "%s l -- %s" , "%s x -y %s -o%s", FALSE, OFFSET_7Z},
/* tar */
{"%s -xOf" , "%s -tf %s" , NULL , FALSE, NO_OFFSET},
/* UNARCHIVER */
{"unar -o -" , "%s %s" , NULL , FALSE, NO_OFFSET}
};
通过查看上述代码，我们可以看到用于解压的 shell 命令。查看 /* tar */ 部分，它实际上调用了以下 shell 命令："tar -xOf <文件名> -tf <tar 压缩包内的图片>"。这是为了查看/加载 CBT 文档中的每张图片。此行为可以通过使用 tar 程序的 '--checkpoint-action' 选项来利用，方法是将 CBT 文档中的某张图片命名为类似 '--checkpoint-action=EXEC=bash -c "whoami>/tmp/who.txt";.jpg' 的名称，从而在目标上执行任意命令。
该漏洞早在 2017 年就已在 Evince 文档查看器（GNOME 的默认文档阅读器）中被发现。由于 Atril 和 Xreader 是 Evince 的分支，因此该漏洞同时存在于 Atril 和 Xreader 中。Atril 团队当时通过添加一段代码修复了该漏洞，该代码在文件名中包含 "--checkpoint-action=" 的 CBT 文件出现时退出 Atril 进程。以下是补丁（comics-document.c）（第 983 行）：
extract_argv (EvDocument *document, gint page)
{
ComicsDocument *comics_document = COMICS_DOCUMENT (document);
char **argv;
char *command_line, *quoted_archive, *quoted_filename;
GError *err = NULL;
if (g_strrstr (comics_document->page_names->pdata[page], "--checkpoint-action="))
{
g_warning ("File unsupported\n");
gtk_main_quit ();
}
如您所见，当它在页面/文件名中看到 "--checkpoint-action=" 时，会向控制台抛出"文件不受支持"消息并退出。我注意到这仅对空文件或非常小的图片文件有效，如果我们提供一个字节数更多的较大文件，"gtk_main_quit ();" 函数会失败，因此程序会继续运行，从而执行注入的任意命令。
在 MATE 桌面环境、许多 XFCE 和轻量级桌面环境（包括 Kali、Parrot、Xubuntu、Ubuntu Mate、Kylin、Fedora Mate、Manjaro Mate 等操作系统）中，此漏洞只需发送一个链接/URL 即可利用，因为这些操作系统/环境安装了 Atril，而 Atril 有一个名为 atril-previewer 的附加组件，无需打开或点击文档即可触发漏洞。攻击者可以构造一个网页，当目标用户访问该网页时立即将构造好的 CBT 文件下载到目标系统，而如今最新的 Firefox 浏览器默认会自动下载而无需用户确认，当用户导航到其下载目录时，载荷将被执行，从而为攻击者提供 shell。
在 Linux Mint（Cinnamon 桌面环境）中，目标用户必须打开文档才能触发载荷，因为 Linux Mint 使用 Xreader，而 Xreader 没有预览器。
我在本次提交中附带了一个完全可用的漏洞利用程序以及一个演示视频，打包在 zip 压缩包（doctTar-inject_exploit.zip）中。
在演示视频中，场景如下： 攻击者机器 - Kali Linux 受害者机器 - Kali Linux 最新版（2023.3） 受害者访问我的漏洞利用脚本生成的恶意 URL/链接
漏洞利用依赖：poppler-utils 请在您的 Linux 机器（推荐 Kali）上运行漏洞利用脚本之前安装 poppler-utils。安装命令：apt install poppler-utils。