漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0127701
漏洞标题：华为商城用户安全手机及邮箱任意修改漏洞
相关厂商：华为技术有限公司
漏洞作者： holycake
提交时间：2015-07-20 11:05
修复时间：2015-09-06 10:10
公开时间：2015-09-06 10:10
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-07-20： 细节已通知厂商并且等待厂商处理中
2015-07-23： 厂商已经确认，细节仅向厂商公开
2015-08-02： 细节向核心白帽子及相关领域专家公开
2015-08-12： 细节向普通白帽子公开
2015-08-22： 细节向实习白帽子公开
2015-09-06： 细节向公众公开
简要描述：
华为商城用户资料中安全邮箱及安全手机更改机制存在验证漏洞。
详细说明：
华为商城抢购荣耀7手机需要使用手机号码作为账号登陆。然而用户的手机号码可在机主不知情的情况下被盗用。在下由于手机坏想要抢一部荣耀7，但是使用手机号码1825*登陆华为商城后发现用户资料中的安全邮箱和安全手机皆为他人的号码。拨打安全手机13692285604，发现为深圳移动的号码。而在下厦门移动1825*的手机号码使用已有5年，不会是号码的前任主人注册的。很可能是有人利用华为商城注册程序的漏洞用他人的手机号码注册了账号。建议华为公司清查手机号码与安全手机号码归属地不同及一个安全手机或邮箱同时关联多个手机号码账号的情况，防止恶意抢购的不法行为出现。
修改用户资料中安全邮箱及安全手机正常流程需要经过以下4步：
1 输入新手机号
2 验证新手机号
3 安全确认
4 完成
其中第2步“验证新手机号”会发送短信验证码至新手机。第3步“安全确认”会发送短信验证码至旧手机。由于在下并无该安全手机，无法完成安全手机及邮箱的修改，导致账号存在被人盗用的风险。由于验证机制存在问题。导致攻击者在第3步时可以自行定义进行安全确认的旧手机号码。从而绕过需要安全手机进行确认的保护机制。
漏洞证明：
由于属于事后记录，只有burp的记录。没有网页截图。
第2步通过后显示第3步的页面。图中可见原始安全邮箱与安全手机皆为他人的号码。
要求使用手机13692285604进行修改确认。
修改发送短信验证码的http请求，将安全手机号码13692285604修改为本机1825*。则旧安全手机确认验证码将发送至1825*而非13692285604。
这个应该是发送验证码至手机
服务端返回发送验证码成功的消息至页面
手机端接收到验证码0284
新旧手机验证皆通过，最后一步提交最后的请求。
修改安全手机成功。
修复方案：
程序在第3步验证旧安全手机时未检查旧手机号码合法性，直接提交至短信接口。应在数据库中对旧安全手机号码进行检查，或者不使用客户端提交的旧安全手机号码。
余自参加工作初便使用华为的三层交换机及路由器，对华为的产品甚是信任。此次亦是因为华为的通信产业的背景而选择了贵公司的手机。方便的话可否给一个荣耀7的优购码至holycake@gmail.com，不胜感激。
版权声明：转载请注明来源 holycake@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2015-07-23 10:08
厂商回复：
感谢白帽子holycake对华为公司IT安全的关注，我们已经将这个漏洞反馈给业务部门，他们会尽快修复，
最新状态：
暂无