launch-editor: escapeCmdArgs() omite el escape de % en Windows

Resumen

launch-editor no escapaba % en Windows al pasar un argumento a cmd. Cuando una variable de entorno contenía un valor malicioso, era posible que dicho contenido fuera ejecutado.

Impacto

Solo se ven afectadas las aplicaciones que cumplen con todas las condiciones siguientes:

• El usuario utiliza Windows
• Un atacante puede colocar un archivo con un nombre malicioso que contenga & o %
• Se cumple cualquiera de las siguientes situaciones:
  • Un atacante puede inyectar una variable de entorno con un valor malicioso
  • Un atacante puede agregar un flujo de datos alternativo NTFS al archivo colocado

Detalles

A diferencia de los archivos .sh, los archivos .bat / .cmd en Windows no se pueden invocar directamente mediante child_process.spawn y requieren ser pasados como argumento de cmd.exe. Para lograr esto, launch-editor escapa los argumentos pasados a cmd.exe. Sin embargo, launch-editor no escapaba %, el cual se utiliza para variables de entorno.

Dado que launch-editor verifica si el argumento coincide con un nombre de archivo existente, el ataque requiere que el atacante pueda colocar un archivo.

• Si el atacante también puede inyectar una variable de entorno, puede incluir el subcomando en la variable (p. ej., establecer &calc.exe en %ENV%) y llamar a launchEditor con something%ENV%.
• Si el atacante puede colocar un flujo de datos alternativo NTFS en el archivo (p. ej., un flujo alternativo NTFS llamado ~-38%calc.exe), puede llamar a launchEditor con something %CMDCMDLINE:~-38%calc.exe.
• Si el atacante puede crear un nombre de archivo que contenga %CD% y el subcomando (p. ej., &calc.exe ), puede llamar a launchEditor con ./%CD%.