[公开漏洞]中国联通营业厅身份接口处理不当可能泄漏身份证地址

中国联通营业厅身份接口处理不当可能泄漏身份证地址 相关厂商： 中国联通 漏洞作者：路人甲 提交时间：2014-04-21 10:40 公开时间：2014-06-05 10:40 漏洞类型：内容安全 危害等级：中 自评Rank：8 漏洞状态： 已交由第三方厂商(cncert国家互联网应急中心)处理 漏洞来源：http://www.wooyun.org Tags标签： 用户敏感信息泄露 漏洞详情 披露状态：

2014-04-21：细节已通知厂商并且等待厂商处理中
2014-04-26：厂商已经确认，细节仅向厂商公开
2014-05-06：细节向核心白帽子及相关领域专家公开
2014-05-16：细节向普通白帽子公开
2014-05-26：细节向实习白帽子公开
2014-06-05：细节向公众公开

简要描述：

中国联通营业厅身份接口处理不当可能泄漏身份证地址

详细说明：

联通网上营业厅,知道任意身份证姓名+帐号=可查身份证地址



移动资费一直贵,联通一直在吸引大家去用他的网络.最近推出的联通3G手机卡专用副卡,就不错.我来网上营业厅办理了.请确认您的联通套餐资费满足3G手机卡专用副卡的要求http://mall.10010.com/goodsdetail/511301296290.html,先是选号,填写帐号资料

OK,买完了,看看我的订单

订单详情

哇~居然看到了身份证地址,之前没输入啊...

漏洞证明：

又找了一位小朋友的资料试了一遍

哇~真的又查到了...

修复方案：

联通还有什么话好说.资费妥妥的低,除了在地铁上网速将为0...

版权声明：转载请注明来源 路人甲@乌云 漏洞回应 厂商回应：

危害等级：中

漏洞Rank：9

确认时间：2014-04-26 10:19

厂商回复：

CNVD未直接复现所述情况（准确说是未进行多案例复现），不过可确认所述风险情况，已经转由CNCERT直接向中国联通集团公司通报处置。

最新状态：

暂无