【360可防御】某网盘Windows客户端存在远程命令执行漏洞

近日，安全研究人员发现某网盘Windows客户端存在一处严重的远程命令执行漏洞。该漏洞存在于其默认安装的服务程序中，程序会在本地监听TCP 10000端口，并通过HTTP协议接收请求。


在处理OpenSafeBox接口的uk参数时，由于未对用户输入进行有效过滤和校验，导致攻击者可以通过构造恶意请求注入操作系统命令。一旦成功利用，攻击者可在目标系统上远程执行任意命令，获取系统控制权限。


该漏洞无需身份认证即可触发，本地或远程攻击者均可利用，风险极高。但该漏洞存在一个限制条件：攻击者需要预先获知目标计算机的用户名，以准确构造指向百度网盘客户端安装目录的路径。


漏洞复现


360漏洞研究院已复现该网盘Windows客户端远程命令执行漏洞，通过启动计算器程序的方式进行了验证。

某网盘Windows客户端远程命令执行漏洞复现

漏洞影响范围


漏洞影响以下版本：

某网盘Windows客户端版本 < 7.60.5.102




修复建议


正式防护方案

建议用户立即升级至官方发布的最新版本（>= 7.60.5.102），以获取针对该漏洞的安全修复。


临时缓解措施

1. 经验证，安装360安全卫士可有效拦截该漏洞的恶意命令注入攻击。

2. 如非必要，可手动关闭网盘客户端后台服务。