迅雷被安全研究人员爆锤 懈怠回应导致大量漏洞被研究人员公开
内容提要
迅雷客户端存在多个安全问题，包括使用老旧版本的Chromium浏览器和Flash Player插件，拦截恶意地址的机制不完善，基于老旧的Electron框架开发等。安全研究人员指责迅雷对修复工作不积极，研究人员在期满后公布了这些漏洞。建议用户注意安全，可以考虑卸载迅雷。
延伸解读
漏洞披露的时间线
研究人员于2023年12月6日至7日通过迅雷安全响应中心提交了5个漏洞报告，并明确最终披露时间为2024年3月6日。迅雷在12月8日自动回复确认收到，但直到2024年2月10日研究人员提醒后，才在2月17日表示漏洞已验证但尚未修复。由于迅雷未与研究人员沟通延长披露时间，研究人员在90天期满后公开了漏洞。
迅雷客户端的过时组件
迅雷客户端集成了2020年5月发布的Chromium 83.0.4103.106版，该版本已四年未更新，存在大量高危漏洞。同时，迅雷还内置了2018年4月发布的Flash Player 29.0.0.140版，未更新至Adobe最后的安全版本。此外，迅雷基于2020年4月的Electron框架开发，同样过时。这些老旧组件是迅雷难以升级的原因之一，因为需要处理大量依赖。
恶意地址拦截的缺陷
迅雷内置浏览器具有拦截恶意地址的功能，但存在白名单机制，允许白名单域名不受限制访问，包括迅雷自己的xunlei.com。研究人员发现，在初始版本中，任意域名后追加?xunlei.com即可绕过验证；后续版本中，恶意网站域名后加.也可访问，因为迅雷无法处理com.。这些缺陷使得拦截机制形同虚设。
迅雷的修复态度与用户建议
迅雷并未完全忽视漏洞报告，研究人员发现其示例代码页面被访问，且2024年2月的新版本删除了Adobe Flash Player集成，但用户主动安装仍会激活。然而，迅雷在三个月内仅自动回复和一次表示仍在修复的邮件，未沟通延长披露时间或细节。目前迅雷未彻底解决所有问题，建议用户注意安全，不经常使用可考虑卸载。
Q&A
迅雷客户端存在哪些主要的安全问题？
迅雷客户端存在多个安全问题，包括使用老旧版本的Chromium和Flash Player插件，拦截恶意地址的机制不完善，以及基于老旧的Electron框架开发等。
安全研究人员对迅雷的回应是什么？
安全研究人员指责迅雷对修复工作不积极，最终在90天后公布了多个漏洞，显示出迅雷未能及时处理安全问题。
迅雷的恶意地址拦截机制有什么缺陷？
迅雷的恶意地址拦截机制存在严重缺陷，允许恶意网站通过特定方式绕过拦截，例如使用白名单机制。
迅雷是否有计划修复这些安全漏洞？
迅雷并未及时修复所有漏洞，虽然在2月份表示正在处理，但并未与研究人员有效沟通，导致漏洞在规定时间后被公开。
用户应该如何应对迅雷的安全问题？
建议用户注意安全，如果不经常使用迅雷，可以考虑直接卸载，以避免潜在的安全风险。
迅雷使用的Chromium和Flash Player版本有多旧？
迅雷集成的Chromium版本为2020年发布的老旧版本，Flash Player插件则是2018年发布的版本，均未进行安全更新。
