驾宝APP设计不当导致任意号码修改密码(严重可能影响驾车安全)

漏洞概要

缺陷编号:WooYun-2015-097462

漏洞标题:驾宝APP设计不当导致任意号码修改密码(严重可能影响驾车安全)

相关厂商:glsx.com.cn

漏洞作者:小龙

提交时间:2015-02-28 14:56

公开时间:2015-03-05 14:58

漏洞类型:应用配置错误

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2015-02-28: 细节已通知厂商并且等待厂商处理中
2015-02-28: 厂商已查看当前漏洞内容,细节仅向厂商公开
2015-03-05: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

深圳广联赛讯有限公司位于深圳科苑路科技园中区科兴科学园C栋3单元7楼,是中国首家专业的车联网服务运营商,由“车联网”行业资深专家团队管理。广联赛讯以其良好的商业模式及发展前景,得到各界的广泛关注,实现快速扩张,并于2012年3月获得亿元级风险投资。

详细说明:

车开着开着会自动放歌,会乱导航,多半是人为,如果你开着车被白帽子定位,我想谁都会感觉怪怪哒。。尤其是这互联网发达的时代,网与车连着好的,那么问题来了看图

OK,我们点找回密码我们发送验证码的时候截断发到“repeater”模块里然后点“GO”

返回了验证码

OK,这个captcha就是验证码 147185 我们看看对不对

确定

功能越多越多安全隐患

漏洞证明:

求个礼物 o(∩_∩)o 哈哈

修复方案:

1:找APP程序员tjjtds求个礼物o(∩_∩)o 哈哈

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-03-05 14:58

厂商回复:

最新状态:

2015-03-06:漏洞原因已经找到并处理完毕,等待app store审核完成上线最新客户端软件后发布最新接口上生产环境,感谢小龙鼎力支持,谢谢!

评价

  1. 2010-01-01 00:00 黄口小儿 白帽子 | Rank:8 漏洞数:1)

    (严重可能影响驾车安全)

  2. 2010-01-01 00:00 小龙 白帽子 | Rank:1634 漏洞数:152)

    @深圳广联赛讯有限公司 为嘛注册了不确认?难道注册完就直接看详情?不确定漏洞吗,笑了……

  3. 2010-01-01 00:00 小荷才露尖尖角 白帽子 | Rank:65 漏洞数:8)

    看到tjjtds,程序员怒了

  4. 2010-01-01 00:00 小龙 白帽子 | Rank:1634 漏洞数:152)

    @深圳广联赛讯有限公司 又忽略了………