某汽车在线app账户体系控制不严可对行驶中的车辆断开油路

漏洞概要

缺陷编号:WooYun-2015-0104685

漏洞标题:某汽车在线app账户体系控制不严可对行驶中的车辆断开油路

相关厂商:汽车在线

漏洞作者:红客十年

提交时间:2015-03-30 10:26

公开时间:2015-05-14 10:28

漏洞类型:应用配置错误

危害等级:高

自评Rank:15

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-03-30: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-05-14: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

洞主开着二手小别克…花擦突然油路断了,到4s店检修检查了半天没毛病。4s工作人员说有可能是你的gps控制器出了问了。花擦,我就火了怎么可能是它出了问题那可是我花了25高价买来的二手gps啊!

详细说明:

网站登陆地址http://www.gpsoo.net/user/test123456最初发现是手机端登陆

手机端登陆

车辆管理

车辆报警信息查看

车辆断开油路控制和其他指令控制

漏洞证明:

修复方案:

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)

评价

  1. 2010-01-01 00:00 疯狗 白帽子 | Rank:22 漏洞数:2)

    远程断油断电……

  2. 2010-01-01 00:00 红客十年 白帽子 | Rank:169 漏洞数:15)

    @疯狗 卧槽,狗哥怎么代认领了……

  3. 2010-01-01 00:00 疯狗 白帽子 | Rank:22 漏洞数:2)

    @红客十年 这个还是联系到厂商来处理

  4. 2010-01-01 00:00 红客十年 白帽子 | Rank:169 漏洞数:15)

    @疯狗 我联系到厂商了…厂商还是没搞懂问题所在

  5. 2010-01-01 00:00 疯狗 白帽子 | Rank:22 漏洞数:2)

    @红客十年 邀请厂商注册看细节啊

  6. 2010-01-01 00:00 红客十年 白帽子 | Rank:169 漏洞数:15)

    @疯狗 我邀请他们来乌云了他们要向上级领导汇报才可以……
    主要问题厂商那边回复我app本身自带控制断开油路功能,所以不是漏洞,厂商根本没在意这个漏洞主要问题是账户体系控制不严问题…

  7. 2010-01-01 00:00 疯狗 白帽子 | Rank:22 漏洞数:2)

    @红客十年 呃,理解误区