漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-092031
漏洞标题：QQ阅读iOS版 UXSS+偷取帐号相关信息
相关厂商：腾讯
漏洞作者： 学习乌云
提交时间：2015-01-16 16:04
修复时间：2015-04-02 10:23
公开时间：2015-04-02 10:23
漏洞类型：远程代码执行
危害等级：高
自评Rank：15
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-01-16： 细节已通知厂商并且等待厂商处理中
2015-01-19： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-03-15： 细节向核心白帽子及相关领域专家公开
2015-03-25： 细节向普通白帽子公开
2015-04-04： 细节向实习白帽子公开
2015-04-02： 细节向公众公开
简要描述：
之前我就发现了，我以为你们会一起修复掉，但很不幸地没有。
详细说明：
在最新iOS 8上测试，未越狱版本。这几天的最新版QQ阅读。
QQ阅读会接收用户在其他iOS app里通过【open with】功能传进来的文件，当这个文件是如下的网页文件时（见下面的测试代码），就可以实现攻击效果。
下面放个UXSS的。（偷取本地其他文件只要把aim变量换成一个本地相对路径即可，看我之前发的几个报告）
远程偷取：当用户装了微信或QQ时，发送fileAtk.html给目标用户并告诉他用QQ阅读去打开。当选中打开，攻击就成功了。
漏洞证明：
当用户装了微信或QQ时，发送fileAtk.html给目标用户并告诉他去打开，他会发现下面的提示：
motivate用户用qq阅读去打开（比如说是本电子书），很自然地攻击容易成功。
这样就可以任意UXSS，外加偷取本地其他文件（这里面可是有QQ帐号信息噢）。
修复方案：
修复对file://的处理（比如禁止JS执行）。
版权声明：转载请注明来源 学习乌云@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-04-02 10:23
厂商回复：
非常感谢您的报告。这个问题我们经过评估，是ios的通用漏洞，故不作处理，但也将同步给业务知悉。如果您有任何的疑问，欢迎反馈，我们会有专人跟进处理。
最新状态：
暂无