当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-025163

漏洞标题:腾讯TM2013最新版远程拒绝服务漏洞

相关厂商:腾讯

漏洞作者: nine8

提交时间:2013-06-05 10:45

修复时间:2013-09-03 10:45

公开时间:2013-09-03 10:45

漏洞类型:拒绝服务

危害等级:中

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-06-05: 细节已通知厂商并且等待厂商处理中
2013-06-05: 厂商已经确认,细节仅向厂商公开
2013-06-08: 细节向第三方安全合作伙伴开放
2013-07-30: 细节向核心白帽子及相关领域专家公开
2013-08-09: 细节向普通白帽子公开
2013-08-19: 细节向实习白帽子公开
2013-09-03: 细节向公众公开

简要描述:

TM2013最新版存在一处远程拒绝服务,无需是好友。TSRC审核二进制客户端的自己都不懂,拿什么审核别人。
TM2013是腾讯公司推出的一款面向个人的即时通讯软件,能够与QQ互联互通,具有无广告、抗骚扰、安静高效的特点,风格简约清新,侧重在办公环境中使用。

详细说明:

TM2013用户登陆后,common.dll模块会创建命名管道,问题出在连接后,被释放,会尝试往内核地址写1,导致Write Acess Violation,引起远程拒绝服务。
问题代码位置:
IDA for Common.dll (数字签名时间: 2013年2月20日)

.text:300CFA78                                         ; sub_300CF93A+4Dj ...
.text:300CFA78 push [ebp+hObject] ; hFile
.text:300CFA7B call ds:FlushFileBuffers
.text:300CFA81 push [ebp+hObject] ; hNamedPipe
.text:300CFA84 call ds:DisconnectNamedPipe
.text:300CFA8A push [ebp+hObject] ; hObject
.text:300CFA8D call ds:CloseHandle
.text:300CFA93 cmp [ebp+var_8], ebx
.text:300CFA96 jnz short loc_300CFAA8
.text:300CFA98 mov ecx, [ebp+var_C] ; void *
.text:300CFA9B cmp ecx, ebx
.text:300CFA9D jz short loc_300CFAB2
.text:300CFA9F push 1 ; char
.text:300CFAA1 call sub_300CCAFA
.text:300CFAA6 jmp short loc_300CFAB2
.text:300CFAA8 ; ---------------------------------------------------------------------------
.text:300CFAA8
.text:300CFAA8 loc_300CFAA8: ; CODE XREF: sub_300CF93A+15Cj
.text:300CFAA8 mov eax, [ebp+var_C]
.text:300CFAAB mov dword ptr [eax+18h], 1 ; <-- here !
.text:300CFAB2


漏洞证明:

根据说明,懂的人很容易写出远程拒绝服务的EXP,攻击条件,知道对方IP, QQ号码,开个共享文件夹即可
crash info

icrosoft Windows XP Service Pack 3 [Build 5.1.2600]
CPU: Intel(R) Core(TM) i3-2120 CPU @ 3.30GHz
TM 0.00.26119 91797BAA0E17E957E010DF86057FBE47
----------------------------------------
Type: EXCEPTION_ACCESS_VIOLATION
Error: Write address 0x806D3C4D
Address: 300CFAAB
CallStack:
0x30000000[CFAAB] Common.dll: (00000394,027AFC70,00150000,0E3BA798)
Regs:
EAX=806D3C35, EBX=00000000, ECX=00E4FF7C, EDX=7C92E4F4
ESI=00064000, EDI=012C51C0, EBP=00E4FFB4, ESP=00E4FF94, EIP=300CFAAB
DWORDs at CS:EIP:
011840C7 5F000000 405EC033 04C2C95B B80C6A00 3014458A 05F8C5E8 8DFF3300
pid=000003BC init_tid=00000830 crashtid=0000013C
DWORDs at teb:
00E4F6CC 00E50000 00E4D000 00000000 00001E00 00000000 7FFDE000 00000000 000003BC 0000013C 00000000 00000000 7FFDB000 00000000 00000000 00000000 00000000
Modules:
[00400000,014000] C:\Tencent\TM\Bin\TM.exe [1.88.5482.0,2013-02-20 02:46:53 GMT] [88088]


屏幕快照 2013-05-30 下午11.47.12.png


TM2013在启动登陆后,其Common.dll默块会创建命名管道 QQ_QQ号码_pipe的命名管道,可以远程打开,问题出在打开关闭后,调用DisconnectNamedPipe,判断返回值后,会跳转一分支,会尝试往非法的内核地址写1,导致Write Acess Violation,引起远程拒绝服务。
利用场景:
知道对方IP和QQ号码,对方开放文件共享即可,通过远程连接被攻击者的命名管道,然后断开命名管道的连接即可触发问题,使对方的QQ瞬间crash掉,安全软件、防火墙均无法防护,非常稳定。
直接打开命名管道,然后sleep几秒ExitProcess即可。很好写。

修复方案:

版权声明:转载请注明来源 nine8@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2013-06-05 14:12

厂商回复:

感谢反馈,已经在修复中……

最新状态:

暂无


漏洞评价:

评论

  1. 2013-06-05 10:49 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    占楼,关注下。

  2. 2013-06-05 11:02 | Nicky ( 普通白帽子 | Rank:477 漏洞数:69 | http://www.droidsec.cn 安卓安全中文站)

    TSRC亮了

  3. 2013-09-03 11:36 | ( 路人 | Rank:14 漏洞数:4 | 小夜,一个苦逼程序员)

    这个我已经被攻击了!唉,电脑打着游戏突然间挂了