漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-04029
漏洞标题：上海电信网上营业厅水平权限安全漏洞
相关厂商：中国电信上海公司
漏洞作者： Places
提交时间：2012-01-27 16:36
修复时间：2012-03-12 16:37
公开时间：2012-03-12 16:37
漏洞类型：未授权访问/权限绕过
危害等级：低
自评Rank：5
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-01-27： 细节已通知厂商并且等待厂商处理中
2012-02-01： 厂商已经确认，细节仅向厂商公开
2012-02-11： 细节向核心白帽子及相关领域专家公开
2012-02-21： 细节向普通白帽子公开
2012-03-02： 细节向实习白帽子公开
2012-03-12： 细节向公众公开
简要描述：
上海电信网上营业厅存在一个水平权限安全漏洞，导致可获得其他客户的隐私信息。
详细说明：
在上海电信网上营业厅(http://sh.189.cn/)使用A客户帐号登录后，在客户信息管理页面，可以通过修改GET参数为其他用户设备号从而获得其他客户的设备安装地址和分账序号，而得到分账序号后可再通过网厅内自定义分账序号查询账单功能进一步获取该分账序号所属客户的姓名等信息，而电信在客服热线人工办理业务时可以使用姓名、地址及分账序号来进行用户身份的确认，同时这些信息也会被电话推销或者电信诈骗等所利用，这些信息的泄漏可能会给用户带来不必要的麻烦。
漏洞证明：
首先先登录上海电信网上营业厅，进入 客户信息管理 - 产品信息 页面，可看到该客户下有三门设备（为保护隐私将部分数据隐去，下同）。
可以看到设备号对应的连接是http://sh.189.cn/service/show_crm_device_detail.do?deviceId=153*********，修改gdeviceId=后参数为其他设备号后即可获取相应设备的安装地址和分账序号。可以看到图中给出的设备号并非在登录进去的这个用户名下。
通过图中得到的分账序号，通过自定义分账序号查询账单功能可以查询到该客户的客户名以及消费状况等信息。下图即为该客户2012年1月的账单。
需要说明的是，并非每个电信的设备号都能在此页面获取相关信息，根据测试，通过家庭后付费客户的设备号获取其信息的几率较高。
修复方案：
你懂的。
版权声明：转载请注明来源 Places@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2012-02-01 09:29
厂商回复：
CNVD确认漏洞存在，为不安全参数引用。转入CNCERT处置流程，通报中国电信集团公司以及上海分中心进行处置。
感谢Places，给予漏洞rank 中的评级。
最新状态：
暂无