clash verge rev 存在远程命令执行+提权漏洞

[kasusa]

clash verge rev 存在远程命令执行+提权漏洞 缓解方法

临时防护建议： • Windows 用户：打开“服务管理器”，禁用 Clash Verge 服务。 • Linux 用户：使用 systemctl stop clash-verge-service && systemctl disable clash-verge-service 停止并禁用服务。 • Mac 用户：在“系统设置”中，关闭名为 “won fen” 的后台自启动权限

关闭后会影响 TUN 模式使用

一般家庭网络不用担心被打，大型局域网用户需要注意 目前没有公布利用细节 参考资料可以自行搜索推特，github issue

[Donaldo]

不是远程命令执行，是本地提权，所以只要本地别有恶意程序就行。

[kasusa]

@Donaldo 我看帖子说局域网内都能执行命令 推特看到的

[Donaldo]

@kasusa #2 来个链接？

[kasusa]

@Donaldo https://x.com/vulkeychen/status/1916363796223824126?s=46

[kasusa]

推特搜 clash 提权 就有了。 早上还没几条 现在很多了

[TerryBlues]

关注下这个事，看 Github issue ，开发组已经在修复这个问题了。

[Donaldo]

@kasusa #4 这个漏洞的根源在于 clash 内核的 bin_path 所指向的二进制没有做任何校验，所以任何提权的前提都是正确的内核二进制文件被替换成恶意文件，然后再通过没有鉴权的 api 重启内核来以最高权限执行假内核来实现。

所以不管怎么说，前提是本地要有恶意程序，或者你被引导着替换了内核。

[kekeabab]

clash verge rev 大大小小的洞多了去了，和朋友随便看了会儿就发现本地提权了，顺带还有命令注入，任意文件读取，等等好几个，还好以前从来不用这玩意

[kekeabab]

另外我主用 macOS ，主要看了下那边的相关代码，真的烂的逆天，尤其是 service 相关的代码，我不能想象 2025 年要通过命令行执行个 osascript 脚本执行 service ，果子系统创建 daemon 的 api 一堆怎么不用呢，非得整个花活

[Yien]

@kekeabab #9 那么你现在 macOS 用哪个？

[Tiande]

蹲个现在全平台都该用哪些客户端🌚

[kekeabab]

@Yien #10 路由器可翻，另外 mihomo 之类的所谓“内核”也有任意文件读取的洞

[skyrocketing]

功能越多越容易出问题

自己写个规则直接跑 mihomo 内核，然后用 web 面板省心很多，全平台通用

[99s]

这个软件功能太多了，一个代理软件对我来说只要能代理服务器就行，我上次还发现有内存泄漏的问题

[kasusa]

@kekeabab 有没有好的 clash 前端推荐。。。 我现在 mac 用的还是这个。

[kasusa]

@99s 我觉得至少需要有
1 节点选择和测速
2 tun 和系统代理模式、通过端口开代理功能
3 订阅管理和定时更新
4 使用局域网共享代理

[wuyazuofeiji]

Mac 用户：在“系统设置”中，关闭名为 “won fen” 的后台自启动权限


怎么找不到这个

[w88975]

@kekeabab 因为 macos 创建的 service 的代码又臭又长, 而且还难调试

[kekeabab]

@w88975 #18 新 API 就一行 `SMAppService.daemon(plistName: "zzz.plist")` ，bind 到 rust 也不麻烦，而且有人 bind 好了。甚至还可以 `SMAppService.openSystemSettingsLoginItems()` 一键引导用户设置登陆项。

[kasusa]

@wuyazuofeiji 我找到了。。。 在下面 没有 logo 。