微信漏洞_微信爆名称命令注入远程执行代码漏洞

CVE身份证号:CVE-2019-17151

CVSS得分8.8

受影响的供应商:腾讯

受影响的产品:微信

漏洞详细信息:

此漏洞是趋势科技移动安全研究团队的陶德·韩、鲁云芝·董和于正发现的

远程攻击者可以在受影响的腾讯微信安装上执行任意代码利用此漏洞需要用户交互，因为目标必须与攻击者处于聊天会话中。

此漏洞允许远程攻击者在受影响的腾讯微信版本上执行任意代码

需要用户交互才能利用此漏洞，因为目标必须处于与攻击者的聊天会话中。用户名解析中存在

漏洞。问题是由于在使用用户提供的字符串执行系统调用之前缺少适当的身份验证。攻击者可以利用此漏洞在当前进程的上下文中执行代码

没有在趋势安全团队发布的消息中发布受影响的微信版本，但根据恢复的微信版本号，受影响的微信在手机端。请记得及时更新

其他详细信息

最新的在线版本7.0.9已经解决了此问题

披露时间表

2019-08-13-供应商报告的漏洞

2019-12-31-公告协调公开发布

受影响版本

安卓/IOS微信< 7.0.9

肖提示:每个人都应该学会学习

。这个案子告诉我们没有任何系统可以被攻破，漏洞就在你我身边。技术人员不应该每天都敲打网络渗透，也不是最终目标。可以说找到漏洞是无价的。