漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-010131
漏洞标题：115网盘U蛋记录用户个人信息
相关厂商：广东雨林木风计算机科技有限公司
漏洞作者： xiaokinghk
提交时间：2012-07-25 14:41
修复时间：2012-07-30 14:42
公开时间：2012-07-30 14:42
漏洞类型：用户敏感数据泄漏
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-07-25： 细节已通知厂商并且等待厂商处理中
2012-07-30： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
115网盘算是是国内很好用的网盘了
我不懂为何 我看个PPS 的数据会被你记录下来
上个乌云也挨记录
详细说明：
偶然想看看115U蛋 下载客户端记录用户密码文件在哪
打开客户端目录 看到了sqlite3.dl 一看就是数据记录。。。。
打开UDown.elf 这个文件 我一下碉堡了 不说我的电脑用户名什么
我连看个PPS 的节目都被记录了。。。。。
可怕的是我拉下来看 我去。。。火狐浏览器上乌云都挨记录。。。。
为此 我特意去大概看了用户协议
传送门 http://115.com/agreement.html
发现 没有提到有关115网盘会获取用户信息。。。相关的问题
反倒是看到了
“
4.6.2 用户不得利用 115.com 的服务从事以下活动：
(1) 未经允许，进入计算机信息网络或者使用计算机信息网络资源的；
”
我想问115客户端记录用户数据是否经过用户允许
漏洞证明：
具体我没花时间去记录U蛋是如何上传用户数据到服务器上的
但个人理解 不上传。。记录这东西干嘛？
或者所报告程序运行的环境BUG报告的话 一定要连机器用户名 IP 以及各种应用程序的使用记录 都要上传吗？
修复方案：
这个明文储存夸张了点吧。。。。
亲 能否在记录数据前 弹个窗 弄个用户协议 告知使用时协助数据统计 以及可以有选项选择不协助统计保护个人隐私。。。。
版权声明：转载请注明来源 xiaokinghk@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-07-30 14:42
厂商回复：
最新状态：
暂无