漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-05155
漏洞标题：深圳航空可访问任意订单详情
相关厂商：深圳航空
漏洞作者： 十月
提交时间：2012-03-10 00:54
修复时间：2012-04-24 00:55
公开时间：2012-04-24 00:55
漏洞类型：未授权访问/权限绕过
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-03-10： 细节已通知厂商并且等待厂商处理中
2012-03-11： 厂商已经确认，细节仅向厂商公开
2012-03-21： 细节向核心白帽子及相关领域专家公开
2012-03-31： 细节向普通白帽子公开
2012-04-10： 细节向实习白帽子公开
2012-04-24： 细节向公众公开
简要描述：
可访问任意订单号对应订单详情，得到：
乘机人姓名，身份证号，乘机日期，班次，时间，以及联系人姓名，联系方式等敏感信息。
此漏洞可造成大量乘客个人信息泄漏。
详细说明：
不需要登录就可以通过订单号构造url访问订单详情，比如订单：
TK201203044******
只需要更改订单号就可以看到相应的订单详情。
更多信息请点击漏洞证明中的URL（公开漏洞时请隐去具体的订单号）。
漏洞证明：
http://www.shenzhenair.com/common/orderManage.do?orderNo=TK201203044078889&operate=getOrderDetail&flightConditionEntity.changedOrgCity=&selectedFlightOrderEntity.userName=&selectedFlightOrderEntity.fromDate=&selectedFlightOrderEntity.toDate=&fromCity=&flightConditionEntity.orgCity1=&toCity=&flightConditionEntity.dstCity0=&pageLoaderInfo.rowPerPage=20&pageLoaderInfo.pageLoaderKey=Logon.PageLoader&pageLoaderInfo.pageNo=1&pageLoaderInfo.startPageNo=1&pageLoaderInfo.endPageNo=1&pageLoaderInfo.oldRowPerPage=20&corNet=noUrl&orgCityStartMail=%BF%A8%BA%C5&text=&text=&verifyCode=
修复方案：
版权声明：转载请注明来源 十月@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2012-03-11 16:03
厂商回复：
CNVD确认并复现所述过程，但未测试提权相关情况。转入CNCERT处置流程，将通报北京市信息化主管部门处置。
CNVD对该漏洞评分如下：
基本得分CVSS：(AV:R/AC:L/Au:NR/C:C/A:N/I:P/B:N) score:7.79(高危）
技术难度系数：1.0（一般）
影响危害系数：1.6（较严重，获得实名身份信息、手机号以及行程信息）
CNVD综合评分：7.79*1.0*1.6=12.464
最新状态：
2012-03-11：更新copy的一个处置意见，未及更正，抱歉。CNVD确认信息泄露存在，转入CNCERT处置流程，将在周一上班时同时协调深航所属上级民航信息化管理部门以及CNCERT广东分中心进行处置，以确保处置效果。