当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-083171

漏洞标题：京东passport业务存在OpenSSL漏洞可获取帐号密码（多个帐号证明）

相关厂商：京东商城

漏洞作者： 路人甲

提交时间：2014-11-13 19:17

修复时间：2014-11-18 03:00

公开时间：2014-11-18 03:00

漏洞类型：系统/服务补丁不及时

危害等级：中

自评Rank：8

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-11-13： 细节已通知厂商并且等待厂商处理中
2014-11-18： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

京东passport业务存在OpenSSL漏洞可获取帐号密码（多个帐号证明）

详细说明：

问题站点：https://passport.jd.com
具体见图片：

1.jpg


2.jpg


3.jpg


4.jpg


13183528745c8c00461911bfaeb0ebcaf380d6f5.png

漏洞证明：

测试发现几乎都是用户的cookie，但也确实存在明文帐号密码。

11.png


mask 区域 
*****p;nloginpwd=Ado6666*****
*****pwd=Ado123456789&machineNet=&am*****
*****mp;nloginpwd*****
*****.*****


jd.png


jd2.jpg

修复方案：

升级补丁。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-11-18 03:00

厂商回复：

感谢路人甲对京东安全的关注。经确认该漏洞再审核通过前已修复。再次感谢乌云平台和路人甲！

漏洞Rank：15 (WooYun评价)

最新状态：

暂无

漏洞评价：

评论

这些评论似乎很乌云~~~思密达
  1. 2014-11-14 23:38 | 雷锋 ( 路人 | Rank:12 漏洞数:2 | 承接:钻井，架工，木工，电工，水暖工，力...)

    京东的工程师有点职业道德行不。。。这都什么年代的事了。。。。

  1. 2014-11-13 19:19 | Finger 认证白帽子 ( 普通白帽子 | Rank:777 漏洞数:95 | 最近有人冒充该账号行骗，任何自称Finger并...)

    《绝迹重生》?《亡者归来》?

  2. 2014-11-13 19:20 | 安然意境 ( 普通白帽子 | Rank:189 漏洞数:79 | 无论是你的事业还是你的个人，可能走的过程...)

    双十一会不会。。。

  3. 2014-11-14 16:23 | Tea ( 普通白帽子 | Rank:297 漏洞数:37 | Can't We Be Young.)

    《绝迹重生》?《亡者归来》?

  4. 2014-11-14 23:38 | 雷锋 ( 路人 | Rank:12 漏洞数:2 | 承接:钻井，架工，木工，电工，水暖工，力...)

    京东的工程师有点职业道德行不。。。这都什么年代的事了。。。。

  5. 2014-11-18 10:45 | char ( 路人 | Rank:13 漏洞数:3 | 中国平安，不只保险这么简单。)

    码打成这样，我看毛啊！！

  6. 2014-11-20 22:18 | Mark ( 路人 | Rank:8 漏洞数:2 | 渗透你的心)

    码打成这样，我看毛啊！！

  7. 2014-11-20 22:18 | Mark ( 路人 | Rank:8 漏洞数:2 | 渗透你的心)

    码打成这样，我看毛啊！！

  8. 2014-12-07 23:06 | Anonymous ( 普通白帽子 | Rank:146 漏洞数:30 | 园长是大傻逼)

    昏脸熟 明白的可以加QQ5737796