重庆电信单位用户可以查询所有该单位名下号码的消费信息

漏洞概要

缺陷编号:WooYun-2012-05793

漏洞标题:重庆电信单位用户可以查询所有该单位名下号码的消费信息

相关厂商:重庆电信

漏洞作者:天山番茄

提交时间:2012-04-07 22:12

公开时间:2012-05-20 22:12

漏洞类型:账户体系控制不严

危害等级:低

自评Rank:2

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2012-04-07: 细节已通知厂商并且等待厂商处理中
2012-04-09: 厂商已经确认,细节仅向厂商公开
2012-04-19: 细节向核心白帽子及相关领域专家公开
2012-04-29: 细节向普通白帽子公开
2012-05-09: 细节向实习白帽子公开
2012-05-20: 细节向公众公开

简要描述:

当重庆电信的号码登记为单位时,其名下任何一个号码都能查询该单位所有号码消费信息。

详细说明:

当名字登记为单位用户的号码在网厅登录时,如果用客户密码登录,可以查询所有该单位名下号码的消费信息。如果能拿到手机,则可以查询详单。

漏洞证明:

我演示为防止泄密用的是随机密码登录

可以看到那是个**学院的单位套餐,尾号为1.然后点击左边的费用查询-账单查询,就会出现如图的情况

该单位所有手机都出现。我们先查询登录的尾号为1的号码,

,然后我们查询第二个尾号为2的号码

。于是,如果你用的是网厅密码登录,同时拿了别人手机就可以查询其详单,而原来不可以,因为如我随机密码演示一样没有权限,更改网厅密码又得知道机主身份证信息,所以原来安全性高多了。

修复方案:

本人菜鸟,无法给出方案

漏洞回应

厂商回应:

危害等级:低

漏洞Rank:1

确认时间:2012-04-09 14:23

厂商回复:

CNVD通过图片确认,但认为该问题属设计缺陷,也未涉及重要信息泄露。
暂不纳入处置流程。rank 1(需要用户登陆的前提,且依赖于网厅提供的查询功能)

最新状态:

暂无

评价