Electron contextIsolation RCE via preload code
Ejemplo 1
Este código abre enlaces http(s) con el navegador predeterminado:
Algo como file:///C:/Windows/systemd32/calc.exe
podría ser utilizado para ejecutar una calculadora, el SAFE_PROTOCOLS.indexOf
lo está previniendo.
Por lo tanto, un atacante podría inyectar este código JS a través de XSS o navegación arbitraria de páginas:
Como la llamada a SAFE_PROTOCOLS.indexOf
siempre devolverá 1337, el atacante puede eludir la protección y ejecutar la calculadora. Exploit final:
Verifica las diapositivas originales para otras formas de ejecutar programas sin que aparezca un aviso pidiendo permisos.
Aparentemente, otra forma de cargar y ejecutar código es accediendo a algo como file://127.0.0.1/electron/rce.jar
Ejemplo 2: RCE en la aplicación Discord
Ejemplo de https://mksben.l0.cm/2020/10/discord-desktop-rce.html?m=1
Al revisar los scripts de precarga, descubrí que Discord expone la función, que permite llamar a algunos módulos permitidos a través de DiscordNative.nativeModules.requireModule('NOMBRE-DEL-MÓDULO')
, en la página web.
Aquí, no pude usar módulos que se pueden utilizar directamente para RCE, como el módulo child_process, pero encontré un código donde se puede lograr RCE al sobrescribir los métodos integrados de JavaScript e interferir con la ejecución del módulo expuesto.
A continuación se muestra la PoC. Pude confirmar que la aplicación calc se abre cuando llamo a la función getGPUDriverVersions
que está definida en el módulo llamado "discord_utils" desde devTools, mientras sobrescribo el RegExp.prototype.test
y Array.prototype.join
.
La función getGPUDriverVersions
intenta ejecutar el programa utilizando la biblioteca "execa", de la siguiente manera:
Generalmente, execa intenta ejecutar "nvidia-smi.exe", que está especificado en la variable nvidiaSmiPath
, sin embargo, debido a la anulación de RegExp.prototype.test
y Array.prototype.join
, el argumento se reemplaza por "calc" en el procesamiento interno de _execa_**.
Específicamente, el argumento se reemplaza cambiando las siguientes dos partes.
Última actualización