漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-036770
漏洞标题：某银行手机客服端可查本省任意手机号机主姓名
相关厂商：某银行
漏洞作者： 与我相关
提交时间：2013-09-11 17:24
修复时间：2013-12-10 17:24
公开时间：2013-12-10 17:24
漏洞类型：设计错误/逻辑缺陷
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-09-11： 细节已通知厂商并且等待厂商处理中
2013-09-15： 厂商已经确认，细节仅向厂商公开
2013-09-18： 细节向第三方安全合作伙伴开放
2013-11-09： 细节向核心白帽子及相关领域专家公开
2013-11-19： 细节向普通白帽子公开
2013-11-29： 细节向实习白帽子公开
2013-12-10： 细节向公众公开
简要描述：
某银行手机客服端上面使用网银充值话费时，只要知道对方手机号码就可以查询到他的姓名和话费余额，涉及严重的隐私安全问题
详细说明：
进入中国银行手机客服端的主菜单，点击账单缴付-自助缴付，选择自己的网银账号后，只要输入手机号码的归属地，选择通讯费，选择号码的运营商（前提该号码运营商在该市跟中国银行有合作关系），输入手机号码后就会显示客户的姓名以及话费余额
每个市可以验证的号码有不同，随州的移动和电信都可以，武汉市只有移动
漏洞证明：
修复方案：
版权声明：转载请注明来源 与我相关@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2013-09-15 23:26
厂商回复：
最新状态：
暂无