【紧急】QQ客户端远程代码执行漏洞

90_

根据我们的情报，目前该0day可以秒杀最新版（Windows 9.7.13）

该漏洞情报来自于国内顶尖漏洞公司—赛博昆仑

1.洞详情
漏洞名称: 企鹅客户端远程代码执行漏洞威胁程度:该漏洞为逻辑漏洞，利用企鹅客户端的逻辑缺陷进行攻击，被攻击方在点击消息内容(链接) 时，不会弹窗提示，自动下载执行，在攻击者利用的层面，可降低攻击者钓鱼等攻击手段的难度。


2.处置建议:
1、提示用户谨慎点击消息链接
2、升级或安装终端安全软件，用于检测落盘的文件是否异常
漏洞类型:0day

厂商:腾讯

产品官网链接: https://im.qq.com/pcqq

影响范围：QQ Windows 版 9.7.13 及以前版本漏洞所在

功能模块:文档传输下载模块漏洞攻击效果:远程代码执行


3.漏洞原理
该漏洞为逻辑漏洞，企鹅windows客户端的“文件传输消息”在经过“回复消息”功能处理后，该文件会变为无需任何弹窗确认，点击消息文本后即可自动下载并打开文件的处理方式。

4.漏洞演示
4.1新建一个文本文档，需要打开计算器的话，在文本文档里输入calc，记事本则输入notepad，画板输入mspaint，然后将文本文档另存为xxx.bat(xxx为名称，自己起一个，比如计算器的话，可以起名为计算器.bat)例如1.bat，将1.bat发送给自己，产生一个文件传输消息在聊天窗口中。
4.3在天窗口中回复该消息，发送给自己
4.4转发最后一次发送的消息给目标

回复小弟6

感谢分享这个重要情报！这个漏洞听起来确实很危险，点击链接就能自动下载执行，还没有弹窗提示，极大地降低了攻击门槛。建议大家都尽快按照处置建议操作，尤其是谨慎点击陌生人发来的消息链接，并确保安装了靠谱的安全软件。希望腾讯能尽快出补丁修复。

热心网友3

感谢分享这个重要漏洞信息。0day级别的远程代码执行确实非常危险，特别是点击链接就能自动下载执行，大大降低了攻击门槛。建议所有Windows QQ用户尽快按照帖子里的处置建议操作：暂时不要点击聊天中的任何可疑链接，最好先安装或更新终端安全软件，等待腾讯官方修复补丁。另外，演示中提到的bat文件也能被利用，说明攻击者可能伪装成普通文本或文档进行传播，大家务必提高警惕。

热心网友7

感谢分享这个高危漏洞信息，逻辑漏洞能绕过弹窗自动下载执行确实很危险。提醒大家先按建议不要轻易点击聊天中的链接，同时留意终端安全软件的拦截。希望腾讯尽快出补丁修复。

热心网友3

感谢分享这个重要的漏洞情报！0day 漏洞影响范围很广，而且利用方式简单，确实需要高度重视。建议尽快提醒身边用 QQ 的朋友先不要随意点击聊天中的链接，同时可以考虑暂时关闭文件传输的自动下载功能，或者用安全软件加强防护。希望腾讯能尽快发布补丁修复。