当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-025164

漏洞标题:QQ2013最新版远程拒绝服务漏洞

相关厂商:腾讯

漏洞作者: nine8

提交时间:2013-06-05 10:44

修复时间:2013-09-03 10:44

公开时间:2013-09-03 10:44

漏洞类型:拒绝服务

危害等级:中

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-06-05: 细节已通知厂商并且等待厂商处理中
2013-06-05: 厂商已经确认,细节仅向厂商公开
2013-06-08: 细节向第三方安全合作伙伴开放
2013-07-30: 细节向核心白帽子及相关领域专家公开
2013-08-09: 细节向普通白帽子公开
2013-08-19: 细节向实习白帽子公开
2013-09-03: 细节向公众公开

简要描述:

QQ2013最新版存在一处远程拒绝服务漏洞。TSRC审核二进制客户端的自己都不懂,拿什么审核别人。
QQ2013是腾讯公司开发的知名即时通讯软件QQ系列的最新版本,进行了更多细节上的优化,最早测试版本于2012年11月09日上线。

详细说明:

QQ2013用户登陆后,common.dll模块会创建命名管道,问题出在连接后,被释放,会尝试往内核地址写1,导致Write Acess Violation,引起远程拒绝服务。
IDA for Common.dll (数字签名时间2013年5月13日)

.text:300CEFF2                                         ; sub_300CEEB4+4Dj ...
.text:300CEFF2 push [ebp+hObject] ; hFile
.text:300CEFF5 call ds:FlushFileBuffers
.text:300CEFFB push [ebp+hObject] ; hNamedPipe
.text:300CEFFE call ds:DisconnectNamedPipe
.text:300CF004 push [ebp+hObject] ; hObject
.text:300CF007 call ds:CloseHandle
.text:300CF00D cmp [ebp+var_8], ebx
.text:300CF010 jnz short loc_300CF022
.text:300CF012 mov ecx, [ebp+var_C] ; void *
.text:300CF015 cmp ecx, ebx
.text:300CF017 jz short loc_300CF02C
.text:300CF019 push 1 ; char
.text:300CF01B call sub_300CC1A3
.text:300CF020 jmp short loc_300CF02C
.text:300CF022 ; ---------------------------------------------------------------------------
.text:300CF022
.text:300CF022 loc_300CF022: ; CODE XREF: sub_300CEEB4+15Cj
.text:300CF022 mov eax, [ebp+var_C]
.text:300CF025 mov dword ptr [eax+18h], 1 ; <-- !!!
.text:300CF02C
.text:300CF02C loc_300CF02C: ; CODE XREF: sub_300CEEB4+163j
.text:300CF02C ; sub_300CEEB4+16Cj


漏洞证明:

录了个视频,不知道传哪?
懂的人,根绝描述,很容易写出稳定的远程拒绝服务的POC/EXP,攻击条件,知道IP, QQ号,开个共享文件夹即可。
crash info

Microsoft Windows XP Service Pack 3 [Build 5.1.2600]
CPU: Intel(R) Core(TM) i3-2120 CPU @ 3.30GHz
QQ 0.00.26183 2D5902422F77DC3E77DA8599FDB31085
----------------------------------------
Type: EXCEPTION_ACCESS_VIOLATION
Error: Write address 0x806D3C4D
Address: 300CF025
CallStack:
0x30000000[CF025] Common.dll: (0000093C,0262FC70,00160000,0559DF08)
Regs:
EAX=806D3C35, EBX=00000000, ECX=0A63FF7C, EDX=7C92E4F4
ESI=00064000, EDI=0505E580, EBP=0A63FFB4, ESP=0A63FF94, EIP=300CF025
DWORDs at CS:EIP:
011840C7 5F000000 405EC033 04C2C95B B80C6A00 3013CDD7 05F6F5E8 8DFF3300
pid=000004E0 init_tid=00000B74 crashtid=00000CAC
DWORDs at teb:
0A63F6B8 0A640000 0A63D000 00000000 00001E00 00000000 7FF83000 00000000 000004E0 00000CAC 00000000 00000000 7FFDB000 00000000 00000000 00000000 00000000


xxx.png


QQ2013在启动登陆后,其Common.dll默块会创建命名管道 QQ_qq号码_pipe的命名管道,可以远程打开,问题出在打开关闭后,调用DisconnectNamedPipe,判断返回值后,会跳转一分支,会尝试往非法的内核地址写1,导致Write Acess Violation,引起远程拒绝服务。
利用场景:
知道对方IP和QQ号码,对方开放文件共享即可,通过远程连接被攻击者的命名管道,然后断开命名管道的连接即可触发问题,使对方的QQ瞬间crash掉,安全软件、防火墙均无法防护,非常稳定。
接打开命名管道,然后sleep几秒ExitProcess即可。很好写。

修复方案:

版权声明:转载请注明来源 nine8@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2013-06-05 14:11

厂商回复:

感谢反馈,已经在修复中……

最新状态:

暂无


漏洞评价:

评论

  1. 2013-06-05 10:48 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    霸气的描述。。TSRC的一些技术员,技术好不好不知道,但是思维方式真心不敢恭维。

  2. 2013-06-05 15:05 | Blackeagle ( 实习白帽子 | Rank:62 漏洞数:10 | 向WooYun致敬)

    @鬼魅羊羔 一些明明是漏洞的 非要说是bug 搞的我提交好多个都忽略 很无语

  3. 2013-06-06 09:11 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @鬼魅羊羔 描述确实很霸气……