当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-04062

漏洞标题:QQ状态不一导致的隐私泄露问题

相关厂商:腾讯

漏洞作者: nforest

提交时间:2012-01-30 02:38

修复时间:2012-01-30 14:37

公开时间:2012-01-30 14:37

漏洞类型:敏感信息泄露

危害等级:低

自评Rank:5

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-01-30: 细节已通知厂商并且等待厂商处理中
2012-01-30: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

由于QQ的多个终端状态不一致,导致在线对其隐身/隐身对其可见功能可以被目标用户发觉.例如对某人设置了在线对其隐身却被对方发现鸟.囧rz..

详细说明:

QQ有一个探测某Q号是否在线的Web服务,但是该服务无法过滤在线对其隐身/隐身对其可见的设置,导致该服务显示的是否在线与QQ客户端显示的有不一致的地方,即可以发现目标QQ有没有对你设置了该功能...

漏洞证明:

http://webservice.webxml.com.cn/webservices/qqOnlineWebService.asmx,自己试试.

修复方案:

吐个槽,
10年想捣鼓QQMail XSS Fuzzing,结果拣了这么个洞,现在想捣鼓QQ的SSO ActiveX,同样又拣了这么个洞.搞笑的是XSS和ActiveX 0day一个都木逮到.
10年曾经向security@tencent.com提交过一个同样的漏洞,那个漏洞是因为QQ邮箱里的邮箱聊天功能和QQ客户端状态不一致导致的该隐私泄露.当时你们的处理流程如下:
1、首先回复:感谢提交,已转相关部门.
2、一周左右时间,该漏洞补了.
3、一个月左右,邮箱聊天功能不见鸟.不见鸟...
建议如法炮制.

版权声明:转载请注明来源 nforest@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2012-01-30 14:37

厂商回复:

非常感谢你的报告,但是我们不认为这是一个漏洞

漏洞Rank:3 (WooYun评价)

最新状态:

暂无