В начале текущей недели группа аргентинских ИБ-специалистов рассказала об уязвимости в десктопном клиенте мессенджера Signal. Баг получил идентификатор CVE-2018-10994. Исследователи обнаружили проблему случайно, когда сами общались через Signal, и один из участников беседы поделился ссылкой на уязвимый сайт с XSS-пейлоадом в URL. Полезная нагрузка неожиданно выполнилась в десктопном клиенте Signal, что не могло не привлечь внимание специалистов. Как оказалось, публикация ссылки в чате позволяла внедрить в приложение заданный пользователем HTML или JavaScript код, посредством iFrame, image, video и audio тегов.
Теперь исследователи поведали о второй, очень похожей проблеме, которой присвоили идентификатор CVE-2018-11101. Новая уязвимость очень похожа на предыдущую, с той лишь разницей, что полезную нагрузку (в виде HTML или JavaScript кода) нужно внедрять в обычное сообщение, на которое затем нужно ответить с цитированием. Из-за некорректной обработки цитирование так же приводит к выполнению кода злоумышленника.
Эксплуатация нового бага точно так же не требует взаимодействия с пользователем, ведь атакующий сначала может отправить в чат пейлоад, а затем сам же ответит на это сообщение с цитированием, после чего уязвимая десктопная версия Signal выполнит код злоумышленника. Видеодемонстрацию атаки можно увидеть ниже.
Стоит отметить, что предыдущие PoC-эксплоиты демонстрировали внедрение кода в мессенджер посредством HTML iFrame или тегов image, video и audio, что подходило для эксплуатации в сочетании с социальной инженерией. Но теперь исследователи создали новый эксплоит, который позволяет похищать сообщения из чатов Signal в формате простого текста.
Хуже того, в своем блоге специалисты выражают опасение, что атакующий также может использовать HTML iFrame вместе с файлами из удаленной SMB шары, что позволит ему похитить хеши паролей NTLMv2 у пользователей Windows. Вероятно, таким способом злоумышленник и вовсе может принудить Windows инициировать процедуру автоматической аутентификации с подконтрольным хакеру SMB-сервером (посредством Технологии единого входа, Single Sign-On). В результате в руках атакующего окажутся username жертвы и хеши паролей, то есть в теории он получит доступ к системе жертвы.
Перед публикацией подробностей о проблеме специалисты уведомили об уязвимости разработчиков мессенджера, и те уже исправили баг, выпустив Signal версии 1.11.0 для Windows, macOS и Linux. Более того, судя по всему, разработчики и сами обнаружили продолжение первой проблемы, после чего подготовили соответствующий патч. Так как Signal оснащен функцией автоматического обновления, большинство пользователей уже вне опасности.
