重点关注
漏洞公告
恶意代码
关于多款APP应用受到libupnp函数库缓冲区溢出漏洞影响的安全公告
近日，国外安全研究机构披露了多款APP应用受到UPnP协议libupnp函数库缓冲区溢出漏洞影响的相关情况，潜在受影响的移动智能终端用户数量达到百万级。国家信息安全漏洞共享平台（CNVD）之前已经收录了该漏洞（编号CNVD-2013-00626，对应CVE-2012-5958 ）,远程攻击者利用漏洞可造成堆栈溢出，导致设备死机，更严重地可在受影响设备上执行任意代码，控制用户手机。
一、漏洞情况分析
libupnp是UPnP设备可移植的SDK，提供了API和开源代码，用于实现媒体播放（DLAN）或NAT地址转换（UPnP IGD）。智能手机上的应用程序可利用这些功能播放媒体文件，或利用用户的家庭网络连接到其他的设备。该漏洞存在于 libupnp库处理简单服务发现协议（SSDP）包过程中，此协议是 Universal Plug N’ Play (UPnP)标准的部分，在处理进程中会出现堆栈溢出，并且需要UDP1900端口打开。综合利用漏洞，攻击者可利用特制包造成缓冲区溢出，导致设备死机，进一步可在受影响设备上执行任意代码。CNVD对该漏洞的综合评级为“高危”。
二、漏洞影响范围
漏洞影响Portable UPnP SDK (libupnp) 1.x版本，据国外安全研究机构趋势科技的统计数据，2015年12月以前发现有547款应用使用较低版本的libupnp函数库，其中包括应用较广QQ音乐对国内用户影响较为广泛。下表为趋势科技测试确认存在漏洞的应用：
|
Common Name
|
Package Name
|
|
AirSmartPlayer
|
com.gk.airsmart.main
|
|
Big2Small
|
com.alitech.dvbtoip
|
|
CameraAccess plus
|
jp.co.pixela.cameraaccessplus
|
|
G-MScreen
|
mktvsmart.screen
|
|
HexLink Remote (TV client)
|
hihex.sbrc.services
|
|
HexLink-SmartTV remote control
|
com.hihex.hexlink
|
|
Hisense Android TV Remote
|
com.hisense.commonremote
|
|
nScreen Mirroring for Samsung
|
com.ht.nscreen.mirroring
|
|
Ooredoo TV Oman
|
com.ooredootv.ooredoo
|
|
PictPrint – WiFi Print App –
|
jp.co.tandem.pictprint
|
|
qa.MozaicGO.Android
|
Mozaic GO
|
|
QQMusic
|
com.tencent.qqmusic
|
|
QQ音乐HD
|
com.tencent.qqmusicpad
|
|
Smart TV Remote
|
com.hisense.common
|
|
Wifi Entertainment
|
com.infogo.entertainment.wifi
|
|
モバイルTV(StationTV)
|
jp.pixela.px01.stationtv.localtuner.full.app
|
|
에브리온TV (무료 실시간 TV)
|
com.everyontv
|
|
多屏看看
|
com.letv.smartControl
|
|
海信分享
|
com.hisense.hishare.hall
|
三、漏洞处置情况和修复建议
厂商已在2012年12月份发布了漏洞的官方修复程序，由于很多应用封装的SDK使用的旧版本libupnp，导致应用存在漏洞。CNVD提醒使用到第三方库的厂商，及时在产品开发环境中升级到最新版本，避免旧版本出现安全问题。http://pupnp.sourceforge.net/。
根据CNVD向腾讯安全响应中心（TSRC）问询的情况，TSRC已经接收到研究者报告的情况，并已在2015年11月中旬发布了升级程序。CNVD提醒用户及时下载更新，避免引发漏洞相关的网络安全事件。
附：参考链接：
