当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0145519

漏洞标题:融通基金Android客户端存在账号密码等用户敏感信息泄露

相关厂商:融通基金

漏洞作者: 大头鬼

提交时间:2015-10-13 17:17

修复时间:2015-11-27 17:18

公开时间:2015-11-27 17:18

漏洞类型:用户敏感数据泄漏

危害等级:中

自评Rank:10

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-10-13: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-11-27: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

这是第二次提交这个app的漏洞。上一次乌云审核没通过,说“明文通信属于行业问题”,我再次解释一下,我提的这个问题不是通信报文数据明文的问题,而是本地调试信息输出的问题,系统乌云仔细审核漏洞。

详细说明:

客户端运行时输出的调试信息泄露账号密码等用户敏感信息泄露

漏洞证明:

1.客户端基本信息:
下载地址:http://**.**.**.**/app/
apk : com.szkingdom.mobilephone.gphone, 15, 1.0.6, 融通基金
apkmd5: e12e675b4a900f80039d35022c8e0e54
证书 :
certmd5: edd32d6ed715e15f6bc335cdd26e5213
issuer: C=86, ST=广东, L=深圳, O=深圳市金慧盈通数据服务有限公司, OU=深圳市金
慧盈通数据服务有限公司, CN=深圳市金慧盈通数据服务有限公司
subject: C=86, ST=广东, L=深圳, O=深圳市金慧盈通数据服务有限公司, OU=深圳市
金慧盈通数据服务有限公司, CN=深圳市金慧盈通数据服务有限公司
2.漏洞证明:
使用客户端进行账户登录:

登录.png


使用DDMS的logcat查看客户端输出的调试信息:

logcat-登录.png


使用DDMS的logcat查看客户端账户注册时输出的调试信息:

logcat-注册.png

修复方案:

清除调试信息输出代码

版权声明:转载请注明来源 大头鬼@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价:

评价