当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-067377

漏洞标题:360搜索App安卓低版本命令执行

相关厂商:奇虎360

漏洞作者: mango

提交时间:2014-07-04 18:47

修复时间:2014-08-18 18:48

公开时间:2014-08-18 18:48

漏洞类型:命令执行

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-07-04: 细节已通知厂商并且等待厂商处理中
2014-07-04: 厂商已经确认,细节仅向厂商公开
2014-07-14: 细节向核心白帽子及相关领域专家公开
2014-07-24: 细节向普通白帽子公开
2014-08-03: 细节向实习白帽子公开
2014-08-18: 细节向公众公开

简要描述:

360搜索App安卓低版本命令执行

详细说明:

7839726B059702CCC3CD534A25BA303A.jpg


36CBF92396E4FA2209B3F4A02F69CDD4.jpg

漏洞证明:

7839726B059702CCC3CD534A25BA303A.jpg


36CBF92396E4FA2209B3F4A02F69CDD4.jpg

修复方案:

版权声明:转载请注明来源 mango@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:5

确认时间:2014-07-04 19:56

厂商回复:

您好,该问题在目前流行的大部分手机上不会出现,问题的原因是由于安卓碎片化严重,部分低版本安卓系统和定制rom不支持我们的安全策略导致,我们会准备发布新版本解决这部分安卓系统的兼容问题。

最新状态:

暂无


漏洞评价:

评论

  1. 2014-07-04 18:53 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    这就是最新版本!!- -

  2. 2014-07-04 18:55 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞,心中自然无码。)

    @mango 记得他们有个APP说过,已经停止开发来着,忘记是不是这个了。

  3. 2014-07-04 18:55 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    @疯狗 不是的。。这个刚开发出来!!

  4. 2014-07-04 18:56 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    下载次数:8万次 更新时间:2014-06-27

  5. 2014-07-04 19:20 | 奇虎360(乌云厂商)

    mango同学请多测试几台手机,有可能是你rom环境或有其他app不兼容导致我们的防御策略失效。PS:另外请不要重复提交漏洞,在360安全响应中心提交后再在乌云提交,这样我们会2个平台都要响应。

  6. 2014-07-04 19:40 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    @疯狗 @奇虎360 - -。。。我该怎么解释呢。。。是怪你们360不好?还是怪我太贪心提交两个??、

  7. 2014-07-04 20:02 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    您好,该问题在目前流行的大部分手机上不会出现,问题的原因是由于安卓碎片化严重,部分低版本安卓系统和定制rom不支持我们的安全策略导致,我们会准备发布新版本解决这部分安卓系统的兼容问题。

  8. 2014-07-04 20:38 | M0nster ( 实习白帽子 | Rank:53 漏洞数:17 | 允许我国的艺术家先富起来)

    总是想默默的给360点个赞

  9. 2014-07-04 21:56 | hacker@sina.cn ( 普通白帽子 | Rank:288 漏洞数:27 | ANONYMOUS)

    支持360

  10. 2014-07-05 11:25 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    明显就不应该两个平台都提交的啊。平台有平台的规定,他们都写漏洞不能外泄什么的,你两个都提交回头你可能啥都拿不到(当然乌云币该有还是有)

  11. 2014-07-05 11:46 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    @wefgod - -我会说360先忽略么?? = =然后我才提交的,他们认为这不是漏洞, = =、、、我就发乌云让他加评评理~

  12. 2014-07-05 15:19 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @mango 我靠?这样啊,那明白了。是我的话我也会那么做

  13. 2014-07-05 16:01 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    @wefgod 恩~

  14. 2014-07-06 18:54 | 小怿 ( 路人 | Rank:29 漏洞数:6 | )

    @mango 我以前以为他们对安全都仔细、认真、谨慎的对待漏洞,因为他们把报过的漏洞名称公布出来,用户还能稍微能知道发生过什么。但是看到你的洞,我觉得他们是真有意思,那怕这个漏洞影响的人群少,那怕你排期修复,最起码证明你还会为用户真正的解决问题,原谅我写那么多影响大家心情。

  15. 2014-07-06 20:09 | hacker@sina.cn ( 普通白帽子 | Rank:288 漏洞数:27 | ANONYMOUS)

    @小怿 我觉得写的不错啊, 我支持影响360心情。 刚开始不知道洞主遭遇了这种情况,还帮360这X说了话。

  16. 2014-07-07 10:21 | 奇虎360(乌云厂商)

    @mango 同学,漏洞只是在验证中,并没有忽略,另外漏洞我们不知道是你的马甲提交还是本人,我们发现两个人沟通的情况完全不同。ps:目前漏洞在360安全响应中心是漏洞确认状态,以后如果有沟通问题,请在官网讨论内沟通,以官网的漏洞状态为准,不要和其他人员确认。

  17. 2014-08-18 19:44 | 刘海哥 ( 普通白帽子 | Rank:114 漏洞数:28 | 索要联系方式但不送礼物的厂商定义为无良厂...)

    没看动他怎么把网站弄进去的!