launch-editor: obejście sprawdzania istnienia `fs.existsSync()` w systemie Windows

Podsumowanie

launch-editor sprawdzał fs.existsSync(fileName) przed przekazaniem podanej ścieżki do polecenia edytora. W systemie Windows atakujący może obejść to sprawdzenie za pomocą spreparowanej ścieżki kończącej się na \\..:line:column. Eliminuje to wymóg umieszczenia przez atakującego pliku o złośliwej nazwie.

W połączeniu z problemem ucieczki znaków % opisanym w GHSA-698v-4r3x-3vcv,), obejście to może prowadzić do wstrzyknięcia poleceń systemu operacyjnego (OS command injection), gdy atakujący kontroluje argument pliku.

Wpływ

Podatność dotyczy wyłącznie aplikacji uruchamianych w systemie Windows.

Szczegóły

Wcześniejszy komunikat zakładał, że fs.existsSync() wymagał istnienia pliku o nazwie kontrolowanej przez atakującego. Niniejszy komunikat opisuje obejście tego wymogu.

Spreparowana wartość kończąca się na \\..:1:1 jest interpretowana inaczej przez launch-editor-middleware, launch-editor oraz system Windows:

1. launch-editor-middleware wywołuje path.resolve(), podczas gdy ostatnim elementem ścieżki jest ..:1:1, przez co nie jest on traktowany jako element katalogu nadrzędnego.
2. launch-editor traktuje :1:1 jako sufiks wiersza i kolumny i usuwa go, pozostawiając ścieżkę kończącą się na \\...
3. W systemie Windows fs.existsSync() akceptuje powstałą ścieżkę jako istniejący katalog nadrzędny, nawet jeśli poprzedzający element kontrolowany przez atakującego nie istnieje.
4. Ponieważ sprawdzenie istnienia kończy się pomyślnie, spreparowana nazwa pliku trafia do polecenia powłoki systemu Windows.