中国移动飞信MAC客户端漏洞可远程代码执行或打开应用（需一个简单的触发条件）

发表于 2015年06月10日
WooYun漏洞库

漏洞概要

缺陷编号：WooYun-2015-0119531

漏洞标题：中国移动飞信MAC客户端漏洞可远程代码执行或打开应用（需一个简单的触发条件）

漏洞详情

披露状态：

2015-06-10: 细节已通知厂商并且等待厂商处理中
2015-06-11: 厂商已经确认，细节仅向厂商公开
2015-06-14: 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2015-08-05: 细节向核心白帽子及相关领域专家公开
2015-08-15: 细节向普通白帽子公开
2015-08-25: 细节向实习白帽子公开
2015-09-09: 细节向公众公开

简要描述：

奇怪的洞

详细说明：

其实这应该算是一个XSS的漏洞，原因是飞信的聊天记录查看窗体是一个webview形式的，但是这个webview没有对用户数据进行处理，造成任意JS脚本，和html标签都能被执行，有搞死mac的风险。给任意一个人发送

<script>prompt('blackchef\n');</script>

1	<script>prompt('blackchef\n');</script>

如果对方查看聊天记录，就会弾框

mac系统有URL Scheme机制可以通过js打开应用，这个漏洞就可以用来打开好友应用

<script>window.location = "macappstores://";</script>

1	<script>window.location = "macappstores://";</script>

输入上面的代码给好友，当好友查看聊天记录时会打开appstore

漏洞证明：

鉴于这个是飞信的群聊功能也存在这个洞，那就可以发挥一下想象，我们群发一条下面的消息

<script>while(true){prompt('blackchef\n');}</script>

1	<script>while(true){prompt('blackchef\n');}</script>

或者

<script>while(true){window.location = "macappstores://";}</script>

1	<script>while(true){window.location = "macappstores://";}</script>

然后告诉群里面的同学，打开群聊天记录有惊喜。。。没敢试

修复方案：

过滤？编码？或者你们其他的好办法

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：7

确认时间：2015-06-1116:30

厂商回复：

感谢支持！

评价

2010-01-01 00:00 疯狗白帽子 | Rank:22 漏洞数:2)

用的人应该不多，但比较经典的设计漏洞
2010-01-01 00:00 blackchef 白帽子 | Rank:162 漏洞数:13)

@疯狗哇多谢狗哥回复啊好兴奋
2010-01-01 00:00 疯狗白帽子 | Rank:22 漏洞数:2)

@blackchef PC开发者这几年被洗礼，现在轮到Mac开发者了
2010-01-01 00:00 sky 白帽子 | Rank:40 漏洞数:7)

看看
2010-01-01 00:00 blackchef 白帽子 | Rank:162 漏洞数:13)

@疯狗狗哥帮忙伸张正义 WooYun: 携程主站和酒店管理系统存储型XSS（已盲打到后台）这个洞我的rank值为啥只拿到了4个呐已经上首页了，挖洞不易啊 /—_—\
2010-01-01 00:00 疯狗白帽子 | Rank:22 漏洞数:2)

@blackchef 不可能啊，在瞧瞧？是在首页的。
2010-01-01 00:00 疯狗白帽子 | Rank:22 漏洞数:2)

@blackchef 搞清楚了，是20个不哭
2010-01-01 00:00 blackchef 白帽子 | Rank:162 漏洞数:13)

@疯狗多谢狗哥