运营商安全之某省移动网上营业厅服务密码设计不当可对大部分用户随意停机/办理业务/办理套餐/个人资料/PUK码/入网时间等

漏洞概要

缺陷编号:WooYun-2015-0124870

漏洞标题:运营商安全之某省移动网上营业厅服务密码设计不当可对大部分用户随意停机/办理业务/办理套餐/个人资料/PUK码/入网时间等

相关厂商:中国移动

漏洞作者:时光love叶子

提交时间:2015-07-08 14:33

公开时间:2015-08-24 19:12

漏洞类型:设计缺陷/逻辑错误

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2015-07-08: 细节已通知厂商并且等待厂商处理中
2015-07-10: 厂商已经确认,细节仅向厂商公开
2015-07-20: 细节向核心白帽子及相关领域专家公开
2015-07-30: 细节向普通白帽子公开
2015-08-09: 细节向实习白帽子公开
2015-08-24: 细节向公众公开

简要描述:

登陆移动网上营业厅弱密码|停随意机、办理业务、办理套餐、个人资料、PUK码、入网时间等

详细说明:

几百块的流量订购 随便开通 手机随便停机

漏洞证明:

几百块的流量订购 随便开通 手机随便停机

修复方案:

模仿联通强制修改初始密码禁止初始密码登陆

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2015-07-10 19:11

厂商回复:

CNVD确认所述情况,已经转由CNCERT向中国移动集团公司通报,由其后续协调网站管理部门处置.

最新状态:

暂无

评价

  1. 2010-01-01 00:00 牛小帅 白帽子 | Rank:0 漏洞数:0)

    *******看戏了****看戏了
    *** 麻痹 没位置了***********
    占个位置

  2. 2010-01-01 00:00 时光love叶子 白帽子 | Rank:20 漏洞数:2)

    才8rank对得起我??

  3. 2010-01-01 00:00 机器猫 白帽子 | Rank:901 漏洞数:90)

    这样也行?

  4. 2010-01-01 00:00 backda0 白帽子 | Rank:0 漏洞数:0)

    这样也行?还是20多个省,我也能赚100多rank了···

  5. 2010-01-01 00:00 路易崽 白帽子 | Rank:10 漏洞数:1)

    迷人的箭头。

  6. 2010-01-01 00:00 小小泥娃 白帽子 | Rank:12 漏洞数:2)

    @时光love叶子 可能是因为漏洞成因简单 并不会造成实际经济损失 仅仅只是个初始密码,导致了低rank

  7. 2010-01-01 00:00 时光love叶子 白帽子 | Rank:20 漏洞数:2)

    好吧 但是另一个漏洞无缘无故扣了十rank为啥?@小小泥娃