漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-065052
漏洞标题：中信银行信用卡子站存在安全漏洞无需登陆查询他人开卡信息
相关厂商：中信银行
漏洞作者： 我不是黑客
提交时间：2014-06-15 19:44
修复时间：2014-07-30 19:46
公开时间：2014-07-30 19:46
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-06-15： 细节已通知厂商并且等待厂商处理中
2014-06-16： 厂商已经确认，细节仅向厂商公开
2014-06-26： 细节向核心白帽子及相关领域专家公开
2014-07-06： 细节向普通白帽子公开
2014-07-16： 细节向实习白帽子公开
2014-07-30： 细节向公众公开
简要描述：
某银行子站存在安全漏洞无需登陆查询他人开卡信息！ 无需登录就可以查询别人在中信银行办了几张卡，卡的类型，卡号，是否开通网上银行，手机，电话，地址，邮箱，都是明文未加密的！
详细说明：
无意中通过浏览器抓包发现一个中信银行的漏洞，可以导致用户的信息泄露！
在无需登录就可以查询别人在中信银行办了几张卡，卡的类型，卡号，是否开通网上银行，手机，电话，地址，邮箱，都是明文未加密的！而且未做隐藏！没有任何限制！查询N次都是没问题！
还没乌云邀请码，希望管理员给一个！！！！
漏洞证明：
提交截图敏感信息部分，我已经隐藏，具体内容都是可见的！没有做任何隐藏处理！
泄露用户信息的网址是：https://creditcard.ecitic.com/citiccard/cardishop/cardInfo.do?func=queryCardInfo4Tj&dom=%3Crequest%3E%3CcardInfo%20type=%22card_info%22%20idNo=%225101041983[马赛克]%22/%3E%3C/request%3E
网址中的 5101041983[马赛克] 为用户的身份证号码！我在网上随便找的！换成别人的，就可以查询他在中信的信息！
######################################################################
本人声明：请乌云，将此漏洞转交中信银行！不要将泄露用户信息的网址公布出来！以防不法份子利用！用于诈骗！危害用户的银行卡安全！
######################################################################
修复方案：
获取信息钱要求用户先登录，增加权限判断，只能查询自己的！不能查询别人的！即可修复！
版权声明：转载请注明来源 我不是黑客@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-06-16 16:50
厂商回复：
CNVD确认并复现所述情况，已经转由CNCERT向网站管理单位通报，根据网站管理单位反馈称，已经着手采取修复措施，加强权限认证。
最新状态：
暂无