Code-Security-Review
NetMon Roots v1.1.16

Datei: tools/secure_browser_manager/browser_container_builder.py — validate_config_payload() (Zielverzeichnis + Menu-Datei); betrifft transitiv auch netmon/modules/secure_browser/manager.py, das Container-Erstellung per Subprocess an genau dieses Skript delegiert.

Das Feld name eines Container-Eintrags (aus containers.json oder aus dem Namensfeld im NetMon-UI-Dialog) wurde nur auf „nicht leer“ geprüft, aber nicht auf ein sicheres Zeichenset. Sowohl das Zielverzeichnis (base_dir / name) als auch der Dateiname des generierten .desktop-Menüeintrags (get_menu_filename()) wurden direkt aus diesem String abgeleitet — ohne Zeichensatzprüfung und ohne Confinement-Check gegen das Basisverzeichnis.

# vorher:
name = entry.get("name")
if not isinstance(name, str) or not name.strip():
    raise ValueError("Each container entry requires a non-empty 'name'.")
# ... path = base_dir / name  -> "../../../../.config/autostart/x" entkommt base_dir

Exploit-Szenario: Ein Container-Name wie ../../../../.config/autostart/update-check — per Copy&Paste in das Namensfeld oder über eine geteilte/importierte containers.json — verschiebt den erzeugten .desktop-Eintrag aus ~/.local/share/applications in ~/.config/autostart, wo er beim nächsten Login automatisch ausgeführt wird (Persistenzmechanismus). Gleiches Muster erlaubt beliebige Verzeichnisanlage/-kopie außerhalb des vorgesehenen Container-Basisverzeichnisses.

Datei: tools/secure_browser_manager/browser_container_builder.py — build_user_js_content()

homepage_url und new_tab_url wurden per f-string direkt in user_pref("...", "{value}");-Zeilen eingesetzt, ohne Anführungszeichen zu escapen. Firefox interpretiert user.js als JS-ähnliche Anweisungsfolge — ein Wert mit eingebettetem " beendet den String vorzeitig und hängt beliebige weitere user_pref(...)-Aufrufe an.

# Beispielwert fuer homepage_url:
https://example.com");user_pref("network.proxy.type",1);//
# ergab vor dem Fix:
user_pref("browser.startup.homepage", "https://example.com");user_pref("network.proxy.type",1);//");

Auswirkung: Da diese Präferenzdatei genau die Isolations- und Telemetrie-Härtung setzt, die den „Secure“-Anspruch des Containers ausmacht (u. a. dom.security.https_only_mode, network.cookie.cookieBehavior), hätte eine manipulierte URL — z. B. aus einer geteilten Konfiguration — genau diese Schutzeinstellungen des neu erzeugten Containers untergraben können.

Datei: tools/secure_browser_manager/browser_container_builder.py — build_launcher_content(), build_existing_launcher_content(), build_menu_launcher_content()

Name=/Comment=-Zeilen in generierten .desktop-Dateien wurden direkt aus spec.name bzw. menu_name gebildet, ohne eingebettete Zeilenumbrüche zu entfernen. Ein Wert mit \n (z. B. via importierter Konfig oder Zwischenablage-Einfügen in ein Tk-Eingabefeld) hätte zusätzliche Desktop-Entry-Schlüssel einschleusen können; da manche Parser bei doppelten Schlüsseln den zuletzt gelesenen Wert übernehmen, ist ein zweiter, injizierter Exec=-Eintrag implementierungsabhängig nicht auszuschließen.