当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0183341

漏洞标题:东方万里行账户体系漏洞可致上万人账户及身份信息泄露(涉及持有人身份证号\姓名\万里行卡号等敏感信息)

相关厂商:中国东方航空股份有限公司

漏洞作者: Teufel

提交时间:2016-03-11 15:08

修复时间:2016-04-25 15:44

公开时间:2016-04-25 15:44

漏洞类型:账户体系控制不严

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-03-11: 细节已通知厂商并且等待厂商处理中
2016-03-11: 厂商已经确认,细节仅向厂商公开
2016-03-21: 细节向核心白帽子及相关领域专家公开
2016-03-31: 细节向普通白帽子公开
2016-04-10: 细节向实习白帽子公开
2016-04-25: 细节向公众公开

简要描述:

东方万里行账户体系漏洞可致上万人账户及身份信息泄露(涉及持有人身份证号\姓名\手机号\万里行卡号等敏感信息)
东方万里行,会员可通过日常活动,如乘飞机、住酒店、用信用卡消费、享用美食等,轻易累积“东方万里行”积分;还可以用累积的积分换取奖励机票、升舱、兑换精美礼品。
共享航空公司包括:东航系(中国东方航空股份有限公司、上海航空股份有限公司、中国联合航空有限公司)、国泰航空有限公司、日本航空公司、澳洲航空公司,以及全球20家天合联盟成员。

详细说明:

东方航空东方万里行账户密码找回处未做验证可被恶意利用
修改密码处可查询账户是否存在及绑定手机或邮箱;然后通过身份证后00+后6位或出生年月尝试登录即可

可看身份证信息、地址信息、手机号、邮箱、万里行卡号、 受益人身份证信息(一般是家人)、有积分的还可以用来换机票、酒店、礼品等。
这信息要是被机票代售获取可偷偷换取廉价机票、还可以获取经常万里行经常乘飞机出行人员信息。
废话不多说直接登录看图

3.png


150425198902183319	19890218

23102519910127402X 19910127

132326196212100192 19621210

411321198906190034 19890619

140202198601155018 19860115

622701198409074530 00074530

652924199009150034 19900915
132326196212100192 19621210
330326198701036114 19870103
110102198202162754 00162754
362401197008210525 19700821
好了我就不一一例举了


漏洞证明:

1.png


2.png


5.png


WS3N~HEA}1M1[(B])4B3A}7.png


4.png


25.png

修复方案:

修改机制

版权声明:转载请注明来源 Teufel@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2016-03-11 15:44

厂商回复:

十分感谢!

最新状态:

暂无


漏洞评价:

评价

  1. 2016-03-11 16:00 | #Engel ( 路人 | Rank:18 漏洞数:6 | www.wooyunyun.org)

    先占一座