漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-04062
漏洞标题：QQ状态不一导致的隐私泄露问题
相关厂商：腾讯
漏洞作者： nforest
提交时间：2012-01-30 02:38
修复时间：2012-01-30 14:37
公开时间：2012-01-30 14:37
漏洞类型：敏感信息泄露
危害等级：低
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-01-30： 细节已通知厂商并且等待厂商处理中
2012-01-30： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
由于QQ的多个终端状态不一致,导致在线对其隐身/隐身对其可见功能可以被目标用户发觉.例如对某人设置了在线对其隐身却被对方发现鸟.囧rz..
详细说明：
QQ有一个探测某Q号是否在线的Web服务,但是该服务无法过滤在线对其隐身/隐身对其可见的设置,导致该服务显示的是否在线与QQ客户端显示的有不一致的地方,即可以发现目标QQ有没有对你设置了该功能...
漏洞证明：
http://webservice.webxml.com.cn/webservices/qqOnlineWebService.asmx,自己试试.
修复方案：
吐个槽,
10年想捣鼓QQMail XSS Fuzzing,结果拣了这么个洞,现在想捣鼓QQ的SSO ActiveX,同样又拣了这么个洞.搞笑的是XSS和ActiveX 0day一个都木逮到.
10年曾经向security@tencent.com提交过一个同样的漏洞,那个漏洞是因为QQ邮箱里的邮箱聊天功能和QQ客户端状态不一致导致的该隐私泄露.当时你们的处理流程如下：
1、首先回复:感谢提交,已转相关部门.
2、一周左右时间,该漏洞补了.
3、一个月左右,邮箱聊天功能不见鸟.不见鸟...
建议如法炮制.
版权声明：转载请注明来源 nforest@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-01-30 14:37
厂商回复：
非常感谢你的报告，但是我们不认为这是一个漏洞
漏洞Rank：3 (WooYun评价)
最新状态：
暂无