CVE-2020-6506: uXSS in Android WebView

About

Уязвимость затрагивает вендоров, которые используют Android WebView с настройкой конфигурации по умолчанию и чьи приложения работают в системах с версией Android WebView до 83.0.4103.106.

В инстансе Android WebView с WebSettings.setSupportMultipleWindows() = false (или по умолчанию), позволяет в iframe из другого origin обходить same-origin policy и исполнять JS код в верхнеуровневом документе.

Если не поддреживаются в WebView несколько окон, то новые окна с javascript:URL обрабатываются так же, какк новые окна с https://.

Чтобы вызвать атаку, iframe может вызывать window.open() с url-адресом javascript: URL. Другие методы открытия нового окна, такие как ссылка с target="_blank" или href="javascript:..." так же могут сработать.

От пользователя требуется только одно взаимодействие - клик или нажатие клавиши, потому что webview требует взаимодействия, чтобы открыть новое окно.

В редких случаях взаимодействие с пользователем не требуется (drive-by attack). Страница верхнего уровня должна быть загружена с использованием схемы file://, а WebView должен установить для WebSettings.setJavaScriptCanOpenWindowsAutomatically() и WebSettings.setAllowUniversalAccessFromFileURLs() значения в true.

Как понять, что приложение уязвимо?

Если приложение отображает страницы с помощью WebViews и обрабатывает переходы «в новом окне» в том же окне / вкладке (что означает, что для поддержки нескольких окон установлено значение false), оно, вероятно, уязвимо. Удивительно, но многие приложения, которые реализуют функцию нескольких вкладок, страдают, потому что они часто позволяют открывать новые вкладки только через свой пользовательский интерфейс (а не по страницам в WebView), поэтому они оставляют для параметра поддержки нескольких окон Android WebView значение false.

В простейшем случае приложение уязвимо, если они создают WebView следующим образом:

class VulnerableActivity : AppCompatActivity() {
    override fun onCreate(savedInstanceState: Bundle?) {
        // ...other setup code...
        
        // Get WebView from layout
        val myWebView: WebView = findViewById(R.id.webview)
        // Enable JavaScript (only configuration required)
        myWebView.settings.javaScriptEnabled = true
        // Load parent page
        myWebView.loadUrl("https://PARENT_ORIGIN/parent.html")
    }
}

Если возможно, перейдите по этим ссылкам в созданной WebView:

• PoC 1: https://alesandroortiz.com/security/chromiumwebview/cve-2020-6506.html

• PoC 2: https://alesandroortiz.com/security/chromiumwebview/cve-2020-6506-keypress.html

Ожидаемое поведение:

С указанными выше PoC ожидаемым поведением является то, что JavaScript злоумышленника не будет выполняться вообще или выполняться в источнике злоумышленника. В случае уязвимости наблюдаемое поведение - это элемент, добавляемый в документ верхнего уровня (цель). В зависимости от конфигурации WebView уязвимое поведение может также проявляться в виде диалогового окна alert () с информацией о целевом происхождении. (См. Подводные камни ниже.)

Подводные камни

Depending on their configuration, WebViews may not show alert() dialog boxes. Therefore, using a payload such as javascript:alert(document.domain) is not recommended as it may yield a false-negative. Instead, use a payload which first writes to the top-level document and then tries an alert(), such as javascript:var elem = document.createElement("p"); elem.innerHTML = "<b>Executed JS in parent origin: "+window.location.origin+"</b>"; document.body.append(elem); alert(document.domain).

Mitigation

В статье ниже указано, что ReactNative, Cordova и Ionic не пофиксили эту уязвимость у себя.

Links

uXSS (CVE-2020-6506) - Details https://alesandroortiz.com/articles/uxss-android-webview-cve-2020-6506/ PoC: https://alesandroortiz.com/security/chromiumwebview/cve-2020-6506.html