CSV Excel Macro Injection u Password Manageru Pro


Nakon otkrivanja CSRF ranjivosti, evo nas s još jednom; ovaj put problem je u export funkciji koja dozvoljava ubacivanje zloćudne formule u input polje

Još jednom, Luka Šikić, jedan od najviših penetracijskih testera koje je Infigo IS dosad vidio, pronašao je ranjivost u web aplikaciji Password Manager Pro. Konkretnije, radi se o CSV Excel Macro Injectionu koji je identificiran u Export funkciji spomenute aplikacije.
Stvar je zapravo, u teoriji, jednostavna – napadač ubacuje maliciozni kod u input polje. Nakon što ga aplikacija naredbom export pretvori u CSV, žrtva otvara dokument, a on izvršava zloćudni kod. Naš primjer pokrenuo je aplikaciju Kalkulator, no kako i sami vidite, opasnost je daleko veća, pogotovo jer ovisi o tome koju aplikaciju za tablice korisnik koristi (npr. LibreOffice možete natjerati da izvuče lokalne podatke).
 
Nažalost, makar smo dali prijedlog kako bi se ovaj propust mogao popraviti, sigurnosni inženjeri u Zohou, proizvođaču Password Manager Proa, smatraju da ovo problem samog CSV formata te da bi program poput Excela i sličnih, trebali paziti što importiraju te sukladno tome davati upozorenja. Ali što je tu je – ukoliko vas zanima CVE možete ga pročitati ovdje.