漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-052589
漏洞标题：微盟crossdomain.xml可能导致flash跨域攻击
相关厂商：weimob.com
漏洞作者： Crotch
提交时间：2014-03-04 14:26
修复时间：2014-04-18 14:27
公开时间：2014-04-18 14:27
漏洞类型：重要敏感信息泄露
危害等级：中
自评Rank：8
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-03-04： 细节已通知厂商并且等待厂商处理中
2014-03-05： 厂商已经确认，细节仅向厂商公开
2014-03-15： 细节向核心白帽子及相关领域专家公开
2014-03-25： 细节向普通白帽子公开
2014-04-04： 细节向实习白帽子公开
2014-04-18： 细节向公众公开
简要描述：
微盟crossdomain.xml可能导致flash跨域攻击
详细说明：
http://www.weimob.com/crossdomain.xml
allow-access-from表示允许来自哪些域的跨域请求，【*】匹配所有域和所有IP地址，此时任何域均可跨域访问本域上的内容。
漏洞证明：
修复方案：
allow-access-from标签的domain属性检测：domain属性应根据最小化原则按需设置，仅允许可信任的来源跨域请求本域内容。
例：<allow-access-from domain="*.www.weimob.com"/>
allow-http-request-headers-from标签的domain属性检测：domain属性应根据最小化原则按需设置，仅允许可信任的来源向本域跨域发送内容。
site-control标签的permitted-cross-domain-policies属性检测：根据业务的实际需求及可行性，对该属性做相应设置。不要设置为“all”
版权声明：转载请注明来源 Crotch@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2014-03-05 13:52
厂商回复：
感谢对系统提出宝贵意见
最新状态：
暂无