Güvenlik Açıkları Hacker News

Discord Uygulamasında Güvenlik Açığı Bulundu

Discord masaüstü uygulamasındaki birden fazla güvenlik açığı RCE saldırılarına izin verebilir.

Japon bugbounty avcısı Masato Kinugawa, Discord Masaüstü uygulamasını etkileyen çok sayıda güvenlik açığı buldu. Bulgularını bir blog gönderisinde detaylandırarak , hataların birlikte sömürülmesinin uzaktan kod yürütülmesine nasıl yol açabileceğini açıkladı.

Kullanıcılar için tehdit oluşturan üç farklı güvenlik açığı türü buldu. Bunlardan ilki, RCE olasılığına izin veren uygulama penceresindeki devre dışı bırakılan “bağlam ayırma” ayarıydı.

Açıkladığı gibi,

Eğer contextIsolation devre dışı bırakılırsa, bir web sayfasının JavaScript’i Electron’un dahili JavaScript kodunun oluşturucu üzerinde çalıştırılmasını ve önyükleme komut dosyalarını etkileyebilir… Bu davranış tehlikelidir çünkü Electron, web sayfalarının dışındaki JavaScript kodunun Node.js özelliklerini ne olursa olsun kullanmasına izin verir.  nodeIntegration  seçeneği ve web sayfasında geçersiz kılınan işlevden bunlara müdahale ederek, nodeIntegration  false olarak ayarlanmış olsa bile RCE elde etmek mümkün olabilir.

Varsayılan olarak, uygulamada nodeIntegration da false olarak ayarlandı ve böylece saldırıya izin verildi. Bu hatayı keşfettikten sonra araştırmacı, JavaScript’in çalıştırılmasına izin veren başka bir kusur buldu. Bu ikinci hata, iframe yerleştirmelerinde siteler arası komut dosyası çalıştırma (XSS) kusuruydu. İki hata birlikte JS’nin yalnızca iframe’de yürütülmesine izin verebilir. Araştırmacı ayrıca saldırı yüzeyini uygulamaya genişleten üçüncü bir hata buldu. Spesifik olarak, yukarıdaki ikisiyle birlikte RCE saldırılarına izin veren bir navigasyon kısıtlama baypası (CVE-2020-15174) buldu.

Aşağıdaki video istismarı göstermektedir.

Kusurları keşfettikten sonra araştırmacı, hata ödül programı aracılığıyla Discord’a ulaştı.

Bulguları için Kinugawa, Discord’dan 5.000 $ ve Sketchfab’dan 300 $ aldı.

<span>%d</span> blogcu bunu beğendi: