漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0146493
漏洞标题：Foxmail客户端一处设计缺陷可能导致非法调用本地文件资源
相关厂商：腾讯
漏洞作者： 数据流
提交时间：2015-10-14 10:41
修复时间：2016-01-12 15:50
公开时间：2016-01-12 15:50
漏洞类型：远程代码执行
危害等级：中
自评Rank：6
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-10-14： 细节已通知厂商并且等待厂商处理中
2015-10-14： 厂商已经确认，细节仅向厂商公开
2015-10-17： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2015-12-08： 细节向核心白帽子及相关领域专家公开
2015-12-18： 细节向普通白帽子公开
2015-12-28： 细节向实习白帽子公开
2016-01-12： 细节向公众公开
简要描述：
foxmail客户端一处小设计缺陷可能导致远程命令执行,也是很多邮件客户端都存在的一个小缺陷
详细说明：
现在一般邮件客户端都是基于浏览器的,而很多操作都交由本地的html,js去处理.
也就是说发过来的邮件正文也是在本地file:域下,如果客户端没有做适当的处理可能会存在一些安全问题.
foxmail windows版的.邮件正文的内容就直接继承file://,也可以iframe 到file://
foxmail新版的改为基于webkit内核,在处理file://可执行文件时候会直接执行
而不像IE内核那样会弹出对话框.
这是一款基于IE的邮件客户端
而这是foxmail
漏洞证明：
用户右击打开后会马上弹出cmd
当然也可以调用logoff.exe让用户注销等等恶意操作
修复方案：
应限制邮件正文中可打开file://的操作
版权声明：转载请注明来源 数据流@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2015-10-14 15:51
厂商回复：
非常感谢您的报告，问题已着手处理，感谢大家对腾讯业务安全的关注。如果您有任何疑问，欢迎反馈，我们会有专人跟进处理。
最新状态：
暂无
( 核心白帽子 | Rank:1628 漏洞数:188 | 新年快乐！)