迅雷被安全研究人員爆錘 懈怠回應(yīng)導(dǎo)致大量漏洞被研究人員公開 – 藍(lán)點(diǎn)網(wǎng)
安全行業(yè)目前的迅雷慣例是研究人員發(fā)現(xiàn)漏洞并通報(bào)給開發(fā)商后,開發(fā)商有三個月的被安時間進(jìn)行修復(fù),當(dāng)然如果覺得三個月時間不夠,全研青島找外圍(外圍大學(xué)生)【電話微信192=1819=1410提供外圍女上門服務(wù)快速選照片快速安排不收定金面到付款30分鐘可到達(dá)還可以與研究人員溝通適當(dāng)延長漏洞的究人公開披露時間。
日前安全研究人員 Wladimir Palant 在自己的員爆應(yīng)導(dǎo)研究網(wǎng)站上手撕迅雷,指責(zé)迅雷客戶端存在大量漏洞的錘懈同時,迅雷對修復(fù)工作不積極或者說不愿意與研究人員溝通,怠回洞被最終結(jié)果是量漏藍(lán)點(diǎn)研究人員在期滿 (90 天) 后公布了這些漏洞。
從研究人員公布的公開研究來看,迅雷客戶端其實(shí)就是迅雷一個篩子,上面遍布漏洞,被安因?yàn)檠咐诪榱吮M可能留住用戶提供了大量功能,全研青島找外圍(外圍大學(xué)生)【電話微信192=1819=1410提供外圍女上門服務(wù)快速選照片快速安排不收定金面到付款30分鐘可到達(dá)這些功能都是究人拼湊的。
由于漏洞以及相關(guān)細(xì)節(jié)比較多,員爆應(yīng)導(dǎo)研究這里我們簡單梳理下,錘懈想要了解所有漏洞及完整細(xì)節(jié)可以在研究人員的博客中查看。

下面是漏洞時間線:
2023 年 12 月 6 日~12 月 7 日:研究人員通過迅雷安全響應(yīng)中心提交了 5 個漏洞報(bào)告,實(shí)際上報(bào)告的漏洞數(shù)量更多,在報(bào)告中研究人員明確提到最終披露時間是 2024 年 3 月 6 日。
2023 年 12 月 8 日:研究人員收到回信,迅雷安全響應(yīng)中心稱已經(jīng)收到報(bào)告,一旦復(fù)現(xiàn)漏洞將與研究人員聯(lián)系 (這應(yīng)該是自動回復(fù)的通知模板)。
2024 年 2 月 10 日:研究人員向迅雷提醒稱距離漏洞公布只有 1 個月時間了,因?yàn)橛行S商會忘記截止日期,這個并不少見,于是研究人員發(fā)了提醒。
2024 年 02 月 17 日:迅雷安全響應(yīng)中心稱對漏洞進(jìn)行了驗(yàn)證,但漏洞尚未完全修復(fù),也就是確認(rèn)了漏洞存在,但由于 shi 山代碼太多,一時三刻沒法修復(fù),為什么說是 shi 山代碼看后面的說明。
附研究人員關(guān)于迅雷安全響應(yīng)中心的吐槽:限制僅通過 QQ 或微信登錄,這對于國外研究人員來說很難,幸好在底部還留了個郵箱。
安全問題一:使用 2020 年 4 月的 Chromium
迅雷客戶端為了盡可能留住用戶并塞廣告,直接集成了一個瀏覽器,這個使用迅雷的用戶應(yīng)該都知道,還集成了諸如播放器等功能。
然而迅雷當(dāng)然不會自己開發(fā)瀏覽器,迅雷集成了 Chromium 瀏覽器,這沒問題,但集成的版本還是 2020 年 5 月發(fā)布的 83.0.4103.106 版。
這個老舊版本存在數(shù)不清的漏洞,漏洞多到令人發(fā)指,畢竟已經(jīng)四年了,有大量漏洞是很正常的,而且有一些高危漏洞,而迅雷至今沒有更新。
這也是前文提到的 shi 山代碼太多的原因之一,對迅雷來說或許升級個 Chromium 版本都是很難的事情,因?yàn)橐幚硪淮蠖岩蕾嚒?/p>
安全問題二:迅雷還集成 2018 年的 Flash Player 插件
所有瀏覽器都在 2020 年 12 月禁用了 Adobe Flash Player 插件,這個播放器插件也存在巨量漏洞,但迅雷直接忽略了。
迅雷內(nèi)置的 Chromium 瀏覽器還附帶了 Flash Player 29.0.0.140 版,這個版本是 2018 年 4 月發(fā)布的,迅雷甚至都沒更新到 Adobe 發(fā)布的最后一個安全更新。
安全問題三:攔截惡意地址簡直是搞笑
迅雷也用實(shí)際行動告訴我們什么是草臺班子,迅雷內(nèi)置的瀏覽器有攔截惡意地址的功能,包括非法網(wǎng)站和惡意網(wǎng)站等。
但迅雷還特別做了一個白名單機(jī)制,即域名中的白名單在內(nèi)置瀏覽器中的訪問是不受限制的,白名單域名就包括迅雷自己的 xunlei.com
在初始版本中,研究人員提到任意域名結(jié)尾追加?xunlei.com 那就能通過驗(yàn)證,比如 https:// 惡意網(wǎng)站.com/?xunlei.com,emmm… 是個大聰明。
在后續(xù)版本中研究人員刪除了上面的說法,但保留了另一個問題,那就是 https:// 惡意網(wǎng)站.com./ 可以訪問,因?yàn)檠咐谉o法處理 com.
安全問題四:基于老舊的 Electron 框架開發(fā)
迅雷主要就是基于 Electron 框架開發(fā)的,但迅雷使用的版本是 83.0.4103.122 版,發(fā)布于 2020 年 4 月份,和上面提到 Chromium 老舊版本情況類似,也都是篩子,這也是 shi 山代碼之二,迅雷肯定因?yàn)槟撤N原因好幾年了都不敢動這些框架版本。
上面只是其中幾個典型的安全問題,研究人員在博客中還羅列了關(guān)于插件、API、過時的 SDK 等大量問題,內(nèi)容比較多這里不再轉(zhuǎn)述。
迅雷修復(fù)了嗎?
迅雷并沒有直接忽視研究人員的報(bào)告,事實(shí)上研究人員發(fā)現(xiàn)自己的示例代碼頁面被訪問,說明迅雷的工程師也確實(shí)在處理。
同時研究人員在 2 月份的迅雷新版本中還注意到迅雷刪除了 Adobe Flash Player 集成,但如果用戶主動安裝了,那還是會被激活。
所以可以斷定迅雷并沒有直接忽視漏洞,只不過由于 shi 山代碼太多,一時三刻解決不了,而迅雷最大的問題就是沒有及時與研究人員溝通,整整三個月迅雷除了一個自動回復(fù)外,就在 2 月份回了表示還在修復(fù)的郵件,既沒有提到是否需要延長漏洞公開時間、也沒有與研究人員溝通細(xì)節(jié)。
于是到 3 月 6 日研究人員直接公布了所有漏洞,迅雷好歹也有千萬級的用戶,無論是遲遲不更新框架版本還是懈怠處理漏洞,都會給用戶造成嚴(yán)重的安全問題。
目前迅雷并未徹底解決研究人員提到的所有問題 (應(yīng)該只修復(fù)了一小部分?)
(責(zé)任編輯:時尚)
- ·太原包夜學(xué)生妹(電話微信█1894143█)一二線城市外圍模特伴游預(yù)約、空姐、模特、留學(xué)生、熟女、白領(lǐng)、老師、優(yōu)質(zhì)資源
- ·昆明外圍(外圍上門)外圍預(yù)約(電話微信365-*2895)提供高端外圍上門真實(shí)靠譜快速安排不收定金見人滿意付款
- ·西寧怎么找外圍小姐上門【電話微信192=1819=1410提供外圍女上門服務(wù)快速選照片快速安排不收定金面到付款30分鐘可到達(dá)
- ·青島高端美女上門外圍上門外圍女(電話微信█1894143█)提供全球及一二線城市兼職美女上門外圍上門外圍女
- ·南京同城外圍約炮外圍上門外圍女(電話微信█1894143█)一二線城市上門真實(shí)可靠快速安排30分鐘到達(dá)
- ·昆明找小姐(小姐按摩)【電話微信1662+044-1662】提供外圍女上門服務(wù)快速選照片快速安排不收定金面到付款30分鐘可到達(dá)
- ·重慶外圍(重慶外圍女)(電話微信365-*2895)一二線城市外圍預(yù)約、空姐、模特、留學(xué)生、熟女、白領(lǐng)、老師、優(yōu)質(zhì)資源
- ·澳門外圍(澳門外圍女)外圍預(yù)約(電話微信365-*2895)提供頂級外圍女上門,優(yōu)質(zhì)資源可滿足你的一切要求
- ·Switch版《忍者神龜:分裂命運(yùn)》超長試玩影像展示
- ·贊達(dá)亞為新片《應(yīng)戰(zhàn)者》飽吹 網(wǎng)球下跟鞋吸睛非常
- ·觀測顯示,超新星SN 2023fyq在爆炸前表現(xiàn)出持久的活動
- ·與數(shù)十億年前相比,金星幾乎沒有水:新研究可能揭示原因
- ·《賽博朋克2077》超長實(shí)機(jī)試玩視頻 發(fā)售日期暫未公布
- ·鳥山明《戈壁大年夜冒險(xiǎn)》新預(yù)報(bào):散焦DIY拆甲戰(zhàn)役場面
- ·上海大年夜沒有雅園門票貶價(jià) 2019上海大年夜沒有雅園門票代價(jià)+開放時候+交通指北
- ·中式可駭懸疑游戲《轉(zhuǎn)厝》Demo上線Steam
- ·《拂曉:勝利之刻》夏熾花火 緊握盛夏
- ·歐洲航天局太陽軌道飛行器捕捉到了等離子體在太陽上旋轉(zhuǎn)的令人難以置信的畫面
- ·“智周萬物”——2024ChinaJoy AIGC大會圓滿召開
- ·未來電視CEO李鳴:我們看到了什么樣的未來?未來到底還有多遠(yuǎn)?
- ·2020好玩的日系兩次元安排足游保舉 日式氣勢的安排游戲
- ·兇田直樹也喜好《終究胡念計(jì)謀版》 稱是時候做個新的了
- ·《絕地求生》手游聯(lián)動《碟中諜6》 加入稀有外觀降落傘
- ·《DNF》衍逝世類魂新做進(jìn)進(jìn)前期挨磨階段!出售日沒有決
- ·《帆海王動身》SSS再臨 水拳?艾斯國慶專場開啟
- ·太陽系行星軌道與開普勒定律
- ·PS官方商店銷量曝光 《二之國2:幽靈國度》成為銷冠
- ·《暗烏粉碎神:沒有朽》新時拆“怯氣之焰”本日退場














