当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-069296

漏洞标题:爱康国宾多处越权漏洞导致用户敏感信息泄露(身份信息、检查结果等)

相关厂商:爱康国宾

漏洞作者: wkc_2014

提交时间:2014-07-22 13:58

修复时间:2014-09-05 14:00

公开时间:2014-09-05 14:00

漏洞类型:敏感信息泄露

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-07-22: 细节已通知厂商并且等待厂商处理中
2014-07-22: 厂商已经确认,细节仅向厂商公开
2014-08-01: 细节向核心白帽子及相关领域专家公开
2014-08-11: 细节向普通白帽子公开
2014-08-21: 细节向实习白帽子公开
2014-09-05: 细节向公众公开

简要描述:

不知道有没有和别人的冲突,先发一下吧。第一次发越权的。

详细说明:

http://www.ikang.com/
注册一个账号
然后查看 我的爱康

1.png


这三个地方存在问题:

2.png


1.个人账户管理,泄露用户敏感信息
选择卡号:

3.png


修改id:

4.png


获取其他用户信息:

5.png


2.就诊人管理,泄露用户信息,篡改用户信息
本人信息页面:

16.png


6.png


保存,用fiddler截取

7.png


获取到的用户信息(ps:这个用户的信息是被我修改了一次的):

8.png


修改这个用户的信息:

9.png


修改之后的:

10.png


3.电子病历管理,泄露用户信息,暂时不能证明是否可以篡改信息
查看信息,并用截取请求,修改参数

11.png


用户信息

12.png


这时候修改并保存,就会添加到当前用户的电子病历里面:

13.png


14.png


然后再修改这个medId参数的时候,不能确定查看的简历是其余用户的还是已经添加到当前用户的。
和“就诊人管理”界面的问题不一样

漏洞证明:

同上

修复方案:

加强权限控制

版权声明:转载请注明来源 wkc_2014@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2014-07-22 14:16

厂商回复:

漏洞描述和发现得很客观,对我公司进行修复工作很有利,谢谢!

最新状态:

暂无