漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-097815
漏洞标题：利用360安全检测平台发现360手机apk存在用户信息泄漏漏洞
相关厂商：奇虎360
漏洞作者： 老虎
提交时间：2015-02-20 19:42
修复时间：2015-04-02 10:23
公开时间：2015-04-02 10:23
漏洞类型：用户敏感数据泄漏
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-02-20： 细节已通知厂商并且等待厂商处理中
2015-02-20： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-04-16： 细节向核心白帽子及相关领域专家公开
2015-04-26： 细节向普通白帽子公开
2015-05-06： 细节向实习白帽子公开
2015-04-02： 细节向公众公开
简要描述：
利用奇虎360自己的平台检测奇虎360手机apk，求邀请码！
详细说明：
1.导出的组件可以被第三方app任意调用，导致敏感信息泄露或者恶意攻击者精心构造攻击载荷达到攻击的目的。
2.logcat可能泄露程序隐私信息和敏感信息。人员为了调试方便，在终端窗口中输出调试敏感信息，导致敏感信息可被第三方应用读取，信息泄露。
漏洞证明：
修复方案：
修复建议 禁止logcat输出诸如用户名，密码，token，cookie和imei等设备隐私、敏感信息等。
版权声明：转载请注明来源 老虎@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-04-02 10:23
厂商回复：
您好，logcat我们只是作为一类安全编码提醒，没有标为安全漏洞。另外使用了我们的服务，请遵守服务协议，不能随便以我们平台的名义发布漏洞，请乌云和路人甲注意此类法律风险。同时我们扫描出的安全漏洞只供开发者参考，确认需要官方做实际验证。最后欢迎使用我们的平台，以后我们会逐步改进，加入数据流分析，扫描出准确的信息泄露漏洞。
最新状态：
暂无