漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-041777
漏洞标题：利用人人开放平台API可不输入密码访问用户加密相册
相关厂商：人人网
漏洞作者： Tocat
提交时间：2013-11-02 20:16
修复时间：2013-12-17 20:17
公开时间：2013-12-17 20:17
漏洞类型：内容安全
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-11-02： 细节已通知厂商并且等待厂商处理中
2013-11-04： 厂商已经确认，细节仅向厂商公开
2013-11-14： 细节向核心白帽子及相关领域专家公开
2013-11-24： 细节向普通白帽子公开
2013-12-04： 细节向实习白帽子公开
2013-12-17： 细节向公众公开
简要描述：
人人网应用虽然经过授权，但是个人认为授权访问相册并不代表应用可以随意访问用户所有照片包括加密相册。况且在API文档中也明确表明访问加密相册应用需要传递密码，但是人人网开放平台却不检验这一参数，造成应用可以随意收集用户所有照片，造成用户敏感隐私泄露。
详细说明：
人人网无法阻止应用对用户信息的收集，即使设置了用户授权，很大一部分普通用户也未必知道应用有可能会收集其只有自己可见的照片。尤其是对于加密相册通常存放着用户极为隐私的照片，即使应用也绝不应该在无密码的情况下随意调用。万一是艳照神马的呢？况且此API在设计的时候就考虑到了应用访问需要传递密码，但在实际应用中即使无此参数也无所谓。因此希望人人网能够审查这一参数，因为加密相册涉及到非常重要的用户隐私，需要慎重。
漏洞证明：
修复方案：
调用photos.get接口时，人人网开放平台认证password这一参数即可
版权声明：转载请注明来源 Tocat@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2013-11-04 10:29
厂商回复：
多谢！
最新状态：
暂无
漏洞评价：
评论
-
都说出来了……
( 核心白帽子 | Rank:656 漏洞数:107 | 一个想当文人的黑客~)