漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-09231
漏洞标题：朋友网泄露QQ空间权限日志
相关厂商：腾讯
漏洞作者： liyang
提交时间：2012-07-05 09:35
修复时间：2012-08-19 09:35
公开时间：2012-08-19 09:35
漏洞类型：敏感信息泄露
危害等级：低
自评Rank：5
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-07-05： 细节已通知厂商并且等待厂商处理中
2012-07-05： 厂商已经确认，细节仅向厂商公开
2012-07-15： 细节向核心白帽子及相关领域专家公开
2012-07-25： 细节向普通白帽子公开
2012-08-04： 细节向实习白帽子公开
2012-08-19： 细节向公众公开
简要描述：
QQ空间日志设置权限后仍然可以在朋友网显示，泄露用户隐私。
详细说明：
在QQ空间发表一篇日志，如果设置了权限（如只有好友可见），那么在朋友网是不会显示的。
但是如果有人评论了那个日志，在朋友网上就会显示日志的开头部分以及评论内容。
漏洞证明：
如图，该朋友网是使用2（使用数字代替人）的账户登录，2和1是QQ好友和朋友网好友。发表权限日志后，在2的朋友网不会显示该日志。但是在QQ空间可见，于是2发表第一个评论。
3和1也是QQ好友，也看见并评论了日志。
这样，3评论之后，日志的链接以及部分内容就会显示在2的朋友网动态上。1删除QQ好友2后,2的朋友动态上仍然存在该日志。
如果2和1只是朋友网好友，不是QQ好友（我的大部分就是这情况），也不是曾经是好友然后删除的，当然2不会看见该日志，但是3评论后，在朋友网动态里就会显示日志部分内容。
这两种情况的区别是2和1是不是QQ好友。经验证，只要是朋友网好友，且1的权限日志被有权限的人评论，就会显示在2朋友网上。
好复杂啊，仔细读读就明白了。
修复方案：
在细化空间和朋友网的权限管理
版权声明：转载请注明来源 liyang@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2012-07-05 10:15
厂商回复：
感谢你的报告
最新状态：
暂无