当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0153357

漏洞标题：海南航空重要邮箱账号一枚（可导致登陆内部平台）

相关厂商：海南航空

漏洞作者： miyachiki

提交时间：2015-11-10 16:35

修复时间：2015-12-26 09:54

公开时间：2015-12-26 09:54

漏洞类型：重要敏感信息泄露

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-11-10： 细节已通知厂商并且等待厂商处理中
2015-11-11： 厂商已经确认，细节仅向厂商公开
2015-11-21： 细节向核心白帽子及相关领域专家公开
2015-12-01： 细节向普通白帽子公开
2015-12-11： 细节向实习白帽子公开
2015-12-26： 细节向公众公开

简要描述：

海南航空重要邮箱账号一枚（可导致登陆内部平台）

详细说明：

https://github.com/wangrui-spiderNet/HnProject/blob/8f28e44933def827c4b0cfb7d9b34e888451d470/WorkLife/src/com/hna/lmail/ui/activities/SplashActivity.java




mask 区域


*****t@hnag*****
*****^^qw*****






（好像是初始密码？肯定还有很多，你们自查一下吧）


owa.png


登陆后发现，该邮箱为海航通（内部平台）管理员邮箱・・・
邮箱里有很多敏感邮件，比如：申请权限，重置密码等。
邮箱内找到以下员工账号密码：



mask 区域


***** qwe.*****
*****szq.*****
*****2100*****
***** qwe.*****
*****qwe.*****
*****7711*****
*****n 19*****
*****g hc1*****
*****hao130*****
***** qwe*****
*****g ha*****
*****liangf*****
*****FXlq1*****
*****wcwjl*****
*****n Zxcv*****


随便拿一个去试试登陆内部办公平台，然后发现电脑版需短信验证。
不过，通过手机app登陆不需要短信验证…

Screenshot_2015-11-10-17-29-31_com.huawei.svn.hiw.png


AnyOffice（内部办公平台）

Screenshot_2015-11-10-17-29-50_com.eking.android..png


HR平台

漏洞证明：

已证明

修复方案：

建议手机app也加入短信验证，怎么实现问华为吧。

版权声明：转载请注明来源 miyachiki@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2015-11-11 09:52

厂商回复：

谢谢，我们会立即安排整改。

最新状态：

暂无