当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-044836

漏洞标题:安卓版微云客户端绕过独立密码

相关厂商:腾讯

漏洞作者: ysmsy

提交时间:2013-12-04 11:08

修复时间:2014-03-04 11:08

公开时间:2014-03-04 11:08

漏洞类型:设计错误/逻辑缺陷

危害等级:低

自评Rank:3

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-12-04: 细节已通知厂商并且等待厂商处理中
2013-12-04: 厂商已经确认,细节仅向厂商公开
2013-12-07: 细节向第三方安全合作伙伴开放
2014-01-28: 细节向核心白帽子及相关领域专家公开
2014-02-07: 细节向普通白帽子公开
2014-02-17: 细节向实习白帽子公开
2014-03-04: 细节向公众公开

简要描述:

手机型号:LG-LU6200
Android版本:4.0.4
miui版本:3.2.22
微云版本:1.6(360)
移动网络:中国移动CMCC-EDU
独立密码就一摆设,不如直接取消得了~~

详细说明:

安装好微云,登录到验证独立密码界面:

Screenshot_2013-12-03-21-05-13.png


然后直接按HOME键返回启动器主页,注意不要关掉微云:

Screenshot_2013-12-03-21-05-38.png


然后在点击微云客户端进入,神奇的一幕出现了,没有提示验证独立密码了:

Screenshot_2013-12-03-21-06-20.png

漏洞证明:

不信自己试试!

修复方案:

估计测试工程师又加班了,建议苦逼的程序员做好权限验证。实在不行干脆取消独立密码吧,反正绕过微云独立密码的方式挺多的!

版权声明:转载请注明来源 ysmsy@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2013-12-04 17:31

厂商回复:

非常感谢您的报告,问题已着手处理,感谢大家对腾讯业务安全的关注。如果您有任何疑问,欢迎反馈,我们会有专人跟进处理。

最新状态:

暂无


漏洞评价:

评论

  1. 2013-12-08 22:44 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    手机居然是千元级的!

  2. 2014-03-04 21:48 | Social ( 路人 | Rank:0 漏洞数:1 | 我有舒肤佳,谁要看。)

    不错