支付宝账户信息会因绑定邮箱的漏洞被泄露

漏洞概要

缺陷编号:WooYun-2012-06243

漏洞标题:支付宝账户信息会因绑定邮箱的漏洞被泄露

相关厂商:支付宝

漏洞作者:莫愁前路

提交时间:2012-04-21 13:13

公开时间:2012-04-26 13:13

漏洞类型:账户体系控制不严

危害等级:高

自评Rank:15

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2012-04-21: 细节已通知厂商并且等待厂商处理中
2012-04-21: 厂商已查看当前漏洞内容,细节仅向厂商公开
2012-04-26: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

当支付宝账户绑定的邮箱(尤其是免费邮箱,比如网易)因用户A长期不用被收回后,支付宝仍然会不停地发送重要的账户信息到该邮箱。当另一用户B重新注册了该邮箱后,B能看到用户A的账户信息。

详细说明:

当支付宝账户绑定的邮箱(尤其是免费邮箱,比如网易)因用户A长期不用被收回后,支付宝仍然会不停地发送重要的账户信息到该邮箱。当另一用户B重新注册了该邮箱后,B能看到用户A的账户信息。举例说明。1. 用户B新注册了一个网易163免费邮箱(4-12)2. 随后,会收到来自支付宝的各种邮件3. 但用户B发现,这根本是另一个用户A的支付宝信息4. 去支付宝验证,证实该猜测详细,请看截图。

漏洞证明:

用户B新注册了一个网易163免费邮箱(2012-4-12)

随后,会收到来自支付宝等的各种邮件,包含了隐私等重要信息

去支付宝验证,证实该猜测

修复方案:

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2012-04-26 13:13

厂商回复:

漏洞Rank:8 (WooYun评价)

最新状态:

暂无

评价

  1. 2010-01-01 00:00 一刀终情 白帽子 | Rank:154 漏洞数:27)

    这个没什么好办法吧@@

  2. 2010-01-01 00:00 梦想肥羊 白帽子 | Rank:79 漏洞数:18)

    支付宝捆绑邮箱是可以更换的,谁让用户自己换邮箱了,不去支付宝里更换绑定。→_→这是用户自己的疏忽。 难不成支付宝比诸葛亮还牛,你不说,它就知道你换邮箱了?

  3. 2010-01-01 00:00 horseluke 白帽子 | Rank:108 漏洞数:18)

    外部链接:http://www.80sec.com/privacy-risk.html (邮箱收回导致安全保护链体系被打破)