UC浏览器中央人攻击(MITM)缝隙安全公告

颁布功夫 2019-03-28

缝隙编号和级别


CVE编号：暂无，危险级别：高危， CVSS分值：官方未评定


影响领域


受影响版本： 

目前UC浏览器挪着手机版以及桌面版均受影响。


缝隙概述


自2016年以来，UC浏览器中出现了一个潜在危险的更新职能。只管该利用法式还没有看到分发木马或不必要的软件，但它加载和启动新的和未经验证的�？榈闹澳茏槌闪饲痹诘耐�。


UC浏览器的易受攻击的职能可用于执行中央人攻击（MITM）。为了下载新插件，浏览器向号令和节造服务器发送要求，并接管响应文件的链接。

 

GA黄金甲·(中国区)官方网站


由于法式通过不安全的通路（HTTP和谈而不是加密的HTTPS）与服务器通讯，因而网络犯罪分子能够hook来自利用法式的要求。他们能够用蕴含分歧地址的号令代替号令。这使得浏览器从恶意服务器而不是自己的号令和节造服务器下载新�？�。由于UC浏览器使用未署名的插件，它将启动恶意�？槎扌枞魏窝橹�。


因而，MITM攻击能够援手网络犯罪分子使用UC浏览器传布执行各类操作的恶意插件。例如，他们能够显示网络垂钓邮件以窃取用户名，密码，银行卡具体信息和其他幼我数据。此表，木马�？榻赡芙蛹鼙；さ匿榔魑募⑶匀〈娲⒃诜ㄊ侥柯贾械拿苈�。


鉴于UC浏览器在全球领域内的装机量，该缝隙所带来的威胁不容幼觑。除了UC浏览器之表，Google Play还上架了一款“UC 浏览器 Mini版”，显示装置次数已经超过1亿。在UC 浏览器 Mini版本中，同样存在绕过Google Play下载未经测试插件的行为，这批注同样存在中央人攻击的风险。不外，下述缝隙利用所展示的中央人攻击方式并不合用于Mini版本的UC浏览器。
 
 GA黄金甲·(中国区)官方网站

GA黄金甲·(中国区)官方网站


缝隙利用


下面为验证案例。显示了通过UC浏览器下载PDF文档并尝试查看的潜在受害者。

要打开文件，浏览器会尝试从号令和节造服务器下载相应的插件。但是，由于MITM代替，浏览器会下载并启动分歧的库。而后，该库会创建一条文本新闻，上面写着“PWNED！”。


下载PDF文档。
  

GA黄金甲·(中国区)官方网站


打开PDF。


GA黄金甲·(中国区)官方网站


利用中央人攻击代替下载的相应的插件，改为会创建一个写着pwned文档的文本新闻的插件。

 

GA黄金甲·(中国区)官方网站


建复建议


截止本文颁布前，UC浏览器官方还未建复此问题，建议用户临时尽量预防使用UC浏览器，并在官方颁布更新后，尽快升级进行建复。


参考链接


https://news.drweb.com/show/?lng=en&i=13176
https://thehackernews.com/2019/03/uc-browser-android-hacking.html