海尔U-home和U+智能家居平台全站存在越权问题可泄露电话、精确坐标等并可任意控制设备(影响超过230万用户,28万台设备)

漏洞概要

缺陷编号:WooYun-2015-0125519

漏洞标题:海尔U-home和U+智能家居平台全站存在越权问题可泄露电话、精确坐标等并可任意控制设备(影响超过230万用户,28万台设备)

相关厂商:海尔集团

漏洞作者:宋兵甲

提交时间:2015-07-09 10:58

公开时间:2015-08-24 16:30

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2015-07-09: 细节已通知厂商并且等待厂商处理中
2015-07-10: 厂商已经确认,细节仅向厂商公开
2015-07-20: 细节向核心白帽子及相关领域专家公开
2015-07-30: 细节向普通白帽子公开
2015-08-09: 细节向实习白帽子公开
2015-08-24: 细节向公众公开

简要描述:

U-home和U+的后台服务权限管理不当,存在全站越权漏洞,导致超过230万用户信息泄漏,超过28万台设备可被任意控制。

详细说明:

U-home和U+ 的后台服务器没有对用户权限进行判断,存在全站越权问题,使用自己的token能任意查询其他用户的帐号信息,任意控制他人的设备。构造getUserInfoRequest指令可以查到230多万用户的电话号码等信息。

构造get_devlist指令更是可以查到任意用户家里的所有设备和家庭所在坐标。查询到的设备信息如下:

还有更多控制功能略过,电话+家庭坐标已经非常敏感了。

漏洞证明:

使用下面测试代码可以查询任意用户的信息

修复方案:

所有操作要判断用户token是否匹配,而不是只使用userId

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:16

确认时间:2015-07-1016:28

厂商回复:

感谢乌云平台白帽子的测试与提醒,我方已安排人员进行处理

最新状态:

暂无

评价

  1. 2010-01-01 00:00 高小厨 白帽子 | Rank:910 漏洞数:71)

    屌屌的

  2. 2010-01-01 00:00 wefgod 白帽子 | Rank:1438 漏洞数:124)

    等着看控制

  3. 2010-01-01 00:00 乌云首席鉴黄师 白帽子 | Rank:0 漏洞数:0)

    能上电视么?

  4. 2010-01-01 00:00 Dream° 白帽子 | Rank:0 漏洞数:0)

    让别人冬冷夏暖的空调即将诞生~