launch-editor: Überprüfung der Existenz von `fs.existsSync()` kann unter Windows umgangen werden

Zusammenfassung

launch-editor überprüfte fs.existsSync(fileName), bevor ein übergebener Pfad an einen Editor-Befehl weitergeleitet wurde. Unter Windows kann ein Angreifer diese Überprüfung mit einem manipulierten Pfad umgehen, der auf \\..:line:column endet. Dadurch entfällt die Voraussetzung, dass der Angreifer eine Datei mit einem bösartigen Dateinamen ablegen können muss.

In Kombination mit dem in GHSA-698v-4r3x-3vcv,) beschriebenen %-Escaping-Problem kann diese Umgehung zu einer OS-Befehlsinjektion führen, wenn ein Angreifer das Dateiargument kontrolliert.

Auswirkungen

Nur Anwendungen, die unter Windows laufen, sind betroffen.

Details

Der frühere Sicherheitshinweis ging davon aus, dass fs.existsSync() voraussetzte, dass ein vom Angreifer kontrollierter Dateiname existiert. Dieser Hinweis beschreibt eine Umgehung dieser Voraussetzung.

Ein manipulierter Wert, der auf \\..:1:1 endet, wird von launch-editor-middleware, launch-editor und Windows unterschiedlich interpretiert:

1. launch-editor-middleware ruft path.resolve() auf, während die letzte Pfadkomponente ..:1:1 ist, sodass sie nicht als übergeordnete Verzeichniskomponente behandelt wird.
2. launch-editor behandelt :1:1 als Zeilen- und Spaltensuffix und entfernt es, wodurch ein Pfad verbleibt, der auf \\.. endet.
3. Unter Windows akzeptiert fs.existsSync() den resultierenden Pfad als existierendes übergeordnetes Verzeichnis, obwohl die vom Angreifer kontrollierte vorhergehende Komponente nicht existiert.
4. Da die Existenzprüfung erfolgreich ist, gelangt der manipulierte Dateiname an den Windows-Shell-Befehl.