漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-08523
漏洞标题：朋友网泄露QQ号码
相关厂商：腾讯
漏洞作者： 小白兔
提交时间：2012-06-20 08:47
修复时间：2012-08-04 08:48
公开时间：2012-08-04 08:48
漏洞类型：重要敏感信息泄露
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-06-20： 细节已通知厂商并且等待厂商处理中
2012-06-21： 厂商已经确认，细节仅向厂商公开
2012-07-01： 细节向核心白帽子及相关领域专家公开
2012-07-11： 细节向普通白帽子公开
2012-07-21： 细节向实习白帽子公开
2012-08-04： 细节向公众公开
简要描述：
如题 泄露隐私，即使用户设定了QQ号码保密 邮箱保密，只要建立了朋友网 朋友 关系即可通过该漏洞获取 QQ号码和邮箱地址。（获得QQ号码，邮箱地址）
详细说明：
在朋友网 加了多名朋友，彼此互相不知道彼此的QQ号码，仅建立了 朋友网 的朋友关系（非QQ好友）。
通过 “通讯录功能” 中的“导出通讯录”。 可以获得已经设置“QQ保密”用户的 QQ号码信息。
导出数据时 未考虑过滤 设置 QQ号码保密 的用户QQ号码。
漏洞证明：
保密QQ号码泄露：
进入 朋友网的 “通讯录”。
如图 第二行 朋友QQ号码设置为“保密”
此时点击 “通讯录功能” 中的“导出通讯录”。
保存到本地。在接收到的 .CSV 文件中 QQ号码列讲用户设置为“保密”的隐私数据暴露。
修复方案：
导出前， 过滤掉设置“QQ保密”的用户QQ号。
版权声明：转载请注明来源 小白兔@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2012-06-21 14:37
厂商回复：
十分感谢你的报告！
最新状态：
暂无