当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0183341

漏洞标题：东方万里行账户体系漏洞可致上万人账户及身份信息泄露（涉及持有人身份证号\姓名\万里行卡号等敏感信息）

相关厂商：中国东方航空股份有限公司

漏洞作者： Teufel

提交时间：2016-03-11 15:08

修复时间：2016-04-25 15:44

公开时间：2016-04-25 15:44

漏洞类型：账户体系控制不严

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-03-11： 细节已通知厂商并且等待厂商处理中
2016-03-11： 厂商已经确认，细节仅向厂商公开
2016-03-21： 细节向核心白帽子及相关领域专家公开
2016-03-31： 细节向普通白帽子公开
2016-04-10： 细节向实习白帽子公开
2016-04-25： 细节向公众公开

简要描述：

东方万里行账户体系漏洞可致上万人账户及身份信息泄露（涉及持有人身份证号\姓名\手机号\万里行卡号等敏感信息）
东方万里行，会员可通过日常活动，如乘飞机、住酒店、用信用卡消费、享用美食等，轻易累积“东方万里行”积分；还可以用累积的积分换取奖励机票、升舱、兑换精美礼品。
共享航空公司包括：东航系（中国东方航空股份有限公司、上海航空股份有限公司、中国联合航空有限公司）、国泰航空有限公司、日本航空公司、澳洲航空公司，以及全球20家天合联盟成员。

详细说明：

东方航空东方万里行账户密码找回处未做验证可被恶意利用
修改密码处可查询账户是否存在及绑定手机或邮箱；然后通过身份证后00+后6位或出生年月尝试登录即可

可看身份证信息、地址信息、手机号、邮箱、万里行卡号、 受益人身份证信息（一般是家人）、有积分的还可以用来换机票、酒店、礼品等。
这信息要是被机票代售获取可偷偷换取廉价机票、还可以获取经常万里行经常乘飞机出行人员信息。
废话不多说直接登录看图

3.png


150425198902183319	19890218
	
23102519910127402X	19910127
	
132326196212100192	19621210
	
411321198906190034	19890619
	
140202198601155018	19860115
	
622701198409074530	00074530
	
652924199009150034	19900915
132326196212100192	19621210
330326198701036114      19870103
110102198202162754      00162754
362401197008210525      19700821
好了我就不一一例举了


漏洞证明：

1.png


2.png


5.png


WS3N~HEA}1M1[(B])4B3A}7.png


4.png


25.png

修复方案：

修改机制

版权声明：转载请注明来源 Teufel@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2016-03-11 15:44

厂商回复：

十分感谢！

最新状态：

暂无

漏洞评价：

评价

  1. 2016-03-11 16:00 | #Engel ( 路人 | Rank:18 漏洞数:6 | www.wooyunyun.org)

    先占一座