360被曝严重安全漏洞 易被挂马攻击

　　国内知名的安全反馈平台乌云(WooYun)最近发现 360 安全卫士存在严重的升级漏洞，提醒 360 用户注意安全防范。

　　乌云平台在昨天上午发现了这一漏洞，具体内容是 360 安全卫士的升级功能存在漏洞，可在用户升级病毒库时被植入木马程序。

　　有用户猜测这是由于数据包（部分）没有加密，容易被截取分析的原因所导致的，但乌云官方表示目前还不会公开此漏洞的细节。

　　目前 360 官方已经确定了这一漏洞是确实存在的，并回复称这是由旧的升级接口对某些未预期的数据校验不严引发的问题，360 方面正在修复这一问题。不过截至目前为止 360 方法还没有向用户进行任何解释。

　　随后乌云在官方微博上提醒装有 360 的用户注意近期系统是否存在异常，并进行全盘杀毒检测以免中招。

　　漏洞详情

披露状态：

2013-04-11： 细节已通知厂商并且等待厂商处理中
2013-04-11： 厂商已经确认，细节仅向厂商公开

简要描述：

360 升级过程可被中间人攻击利用，使得升级病毒库的机器反被植入木马。

漏洞 hash：695727232361fff6933127b2bb00d361

　　漏洞回应

厂商回应：

危害等级：高

漏洞 Rank：20

确认时间：2013-04-11 14:19

厂商回复：

感谢您的反馈，此问题是旧的升级接口对某些未预期的数据校验不严引发的问题，我们已经在紧急修复此问题，并逐步停用旧接口。