launch-editor: escapeCmdArgs() unterlässt %-Escaping unter Windows

Zusammenfassung

launch-editor hat % unter Windows bei der Übergabe von Argumenten an cmd nicht maskiert. Wenn eine Umgebungsvariable einen bösartigen Wert enthielt, konnte dieser Inhalt potenziell ausgeführt werden.

Auswirkungen

Nur Anwendungen, die alle folgenden Bedingungen erfüllen, sind betroffen:

• Die Benutzerin oder der Benutzer verwendet Windows
• Eine angreifende Person kann eine Datei mit einem manipulierten Dateinamen platzieren, der & oder % enthält
• Mindestens eine der folgenden Bedingungen trifft zu:
  • Eine angreifende Person kann eine Umgebungsvariable mit einem bösartigen Wert einschleusen
  • Eine angreifende Person kann der platzierten Datei einen alternativen NTFS-Datenstrom hinzufügen

Details

Anders als .sh-Dateien können .bat- / .cmd-Dateien unter Windows nicht direkt über child_process.spawn aufgerufen werden und müssen stattdessen als Argument an cmd.exe übergeben werden. Zu diesem Zweck maskiert launch-editor die an cmd.exe übergebenen Argumente. Allerdings hat launch-editor das Zeichen %, welches für Umgebungsvariablen verwendet wird, nicht maskiert.

Da launch-editor prüft, ob das Argument mit einem vorhandenen Dateinamen übereinstimmt, setzt der Angriff voraus, dass eine Datei platziert werden kann.

• Wenn zusätzlich eine Umgebungsvariable eingeschleust werden kann, kann der Unterbefehl in der Umgebungsvariablen enthalten sein (z. B. Setzen von &calc.exe auf %ENV%) und launchEditor mit something%ENV% aufgerufen werden.
• Wenn der Datei ein alternativer NTFS-Datenstrom hinzugefügt werden kann (z. B. ein alternativer Datenstrom namens ~-38%calc.exe), kann launchEditor mit something %CMDCMDLINE:~-38%calc.exe aufgerufen werden.
• Wenn ein Dateiname erstellt werden kann, der das %CD% und den Unterbefehl enthält (z. B. &calc.exe ), kann launchEditor mit ./%CD% aufgerufen werden.