Xunlei Web Thunder ThunderServer.webThunder.1 ActiveX任意文件上传漏洞

Xunlei Web Thunder是一款在线加速下载程序。

Xunlei Web Thunder提供的ActiveX控件存在缓冲区溢出问题，远程攻击者可以利用漏洞下载任意程序在用户系统上以当前用户上下文权限运行。

问题存在于ThunderServer.webThunder.1,可以采用JS代码ActiveXObject("ThunderServer.webThunder.1");来激活讯雷的组件。

其中的关键函数包括:
SetBrowserWindowData:新建浏览器窗口.
SetConfig:设置WEB讯雷.
HideBrowserWindow:隐藏浏览器.
AddTask:添加下载任务.
SearchTask:搜索任务,得到任务ID,文件下载状态等详情.
OpenFile:根据任务ID,打开文件.

攻击者利用这一系列的函数，可以从恶意WEB页下载恶意文件并以用户进程权限执行。

Xunlei Web Thunder (ThunderServer.webThunder.1) 1.8.4.130

前没有解决方案提供：

<a href=“http://my.xunlei.com/setup.htm” target=“_blank”>http://my.xunlei.com/setup.htm</a>