漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2011-03674
漏洞标题：MSNLite用户传输文件任意访问漏洞
相关厂商：莱特工作室
漏洞作者： ftofficer
提交时间：2011-12-19 14:45
修复时间：2011-12-26 12:45
公开时间：2011-12-26 12:45
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2011-12-19： 细节已通知厂商并且等待厂商处理中
2011-12-26： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
第三方可未经授权查看用户通过MSNLite传输的文件
详细说明：
当通过MSNLite传输图片给MSN用户时，该图片会被上传到MSNLite的服务器，
并发送一个URL给对方。该URL是顺序生成，且未经权限控制，任何人都可以访问。因图
片当中可能存在用户隐私，应当加上提取码或改成非顺序生成。
漏洞证明：
http://s.hada.im/1flpo
http://s.hada.im/1flpr
http://s.hada.im/1flpv
http://s.hada.im/1flq2
修复方案：
在图片提取过程当中加上提取码或将URL改成不可预测的随机生成。
版权声明：转载请注明来源 ftofficer@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2011-12-26 12:45
厂商回复：
漏洞Rank：5 (WooYun评价)
最新状态：
暂无