关于qq浏览器等应用“wormbrowser”漏洞情况的通报-尊龙凯时官方旗舰店

近日，国家信息安全漏洞库（cnnvd）收到盘古团队关于“wormbrowser”漏洞相关情况的报送，该漏洞存在于安卓版本的qq浏览器和qq热点两款应用中。由于上述产品在启动时，会默认开放本地端口以提供文件传输等服务，导致远程攻击者可利用该漏洞向同一局域网内的其他用户发起攻击，进而执行下载及强制安装应用程序等指令。9月22日，腾讯qq浏览器团队发布公告，确认该漏洞存在并发布线上修复方案。由于该漏洞影响范围较广，危害较为严重，根据cnnvd相关规定，已对此漏洞进行收录，并分配编号cnnvd-201609-627。

一、漏洞简介

qq浏览器是腾讯公司开发的一款免费浏览器，qq热点是腾讯公司开发的一款新闻资讯阅读工具，以上应用拥有pc端和手机端的多个版本。安卓版qq浏览器6.4-6.9版本和qq热点1.0-1.2版本中存在“wormbrowser”漏洞。上述应用在运行时会在移动设备上开放一个端口用于文件传输服务，且未经用户授权即允许同一局域网下的其他设备连接到该端口，导致攻击者可通过该端口在上述设备中执行命令，强制下载安装恶意应用。

二、漏洞危害

攻击者可利用该漏洞绕过用户认证，控制局域网内运行受影响版本qq浏览器或qq热点的设备进行上传数据、启动或安装应用以及在root的设备上静默安装应用。

三、修复措施

经与腾讯公司确认，“截止9月2日凌晨0点，根据腾讯公司线上监控数据，所有运行手机qq浏览器或qq热点的设备均修复了该漏洞，在近期发布的qq浏览器7.0版本中和qq热点1.3版本中，已去掉与该漏洞相关的所有功能代码。”
官方公告链接：http://bbs.mb.qq.com/thread-1418941-1-1.html

本报告由盘古团队提供支持。

cnnvd将继续跟踪上述漏洞的相关情况，及时发布相关信息。如有需要，可与cnnvd联系。

尊龙凯时官方旗舰店的联系方式：cnnvd@itsec.gov.cn