漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0101112
漏洞标题：《现金宝》拒绝服务漏洞
相关厂商：汇添富基金管理股份有限公司
漏洞作者： 晨曦遇晓
提交时间：2015-03-13 11:18
修复时间：2015-04-30 18:48
公开时间：2015-04-30 18:48
漏洞类型：拒绝服务
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-03-13： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-04-30： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
《现金宝》app存在拒绝服务漏洞，具体见图。
详细说明：
（1）先上结果图：
（2）产生的原因：使用am打开该Activity时，没有加extra的键值对信息导致空指针异常。
漏洞证明：
（1）应用详情：
（2）暴露的Activity：
（3）使用am命令打开其中一个暴露的Activity：com.htffund.mobile.ec.ui/.EntranceActivity
（4）拒绝服务发生
（5）产生的原因是空指针异常。
修复方案：
设置export为false，或者在代码中添加try-catch捕获异常
版权声明：转载请注明来源 晨曦遇晓@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝