Command Injection

Aperta
#548 1 commento 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
25/100
Tipo di issue
Bug
Chiarezza
Da chiarire
Stato di attività
Ferma
Stack tecnologico
macos, swift
Ambito
desktop-dev, security

Direzione di ricerca

Inizia tracciando il parametro filepath attraverso gli entry point per la gestione dei file di riferimento e della modalità agente descritti nell’issue, quindi riproduci il comportamento usando il filename fornito in un progetto di test sicuro. Il lavoro è completato quando un filename malevolo non può più causare l’esecuzione di comandi all’apertura o all’utilizzo del file referenziato tramite Copilot.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Description

An attacker can execute arbitrary commands on the user's machine.

Version: 0.43.0

Technical Impact

An attacker can create a project containing a maliciously crafted file name. If a user opens the project in Xcode and interacts with the file using the Copilot extension, the command will be executed on the system.

Code Review

Image

The filepath parameter is used directly while opening the reference file in the code, leading to command injection.

Steps to reproduce

  1. Create a file with the following payload

main.swift";cat>xxd -r -p <<< 2f746d702f68657861616161;".swift

Image
  1. The file will be automatically attached to the Xcode chat editor.
  2. Send any message to interact with Copilot.
  3. Click on the referenced file. Command mentioned in the filename will be executed.
Image

I reported this to GitHub Security in version 0.31.0 but did not receive a response. I also reported the issue to the developer of the intitni repository, and they fixed it in the below commit

Image

https://github.com/intitni/CopilotForXcode/commit/9340275e615197fd7cd3ee8b2ed992893119b38d

Now I see that the vulnerable code is also used for agent mode. Since the issue is already public, I am sharing the details.

Image
Lingua principale
Swift
Stelle
6.3k
Fork
2k
Merge medio
3g 21h
PR unite (30g)
2

Guida per i contributori

Apri la guida per i contributori

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di github/CopilotForXcode

Tutte le issue di github/CopilotForXcode

Issue simili

Altre issue su Swift

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.