漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0155043
漏洞标题：网易有道云笔记可能泄露用户隐私漏洞
相关厂商：网易
漏洞作者： Leniy
提交时间：2015-11-23 10:47
修复时间：2016-02-23 10:20
公开时间：2016-02-23 10:20
漏洞类型：敏感信息泄露
危害等级：低
自评Rank：2
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-23： 细节已通知厂商并且等待厂商处理中
2015-11-25： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2016-01-19： 细节向核心白帽子及相关领域专家公开
2016-01-29： 细节向普通白帽子公开
2016-02-08： 细节向实习白帽子公开
2016-02-23： 细节向公众公开
简要描述：
网易有道云笔记，电脑端和手机端权限设置考虑不足，泄露用户隐私
详细说明：
也不算是漏洞，但是由于加密的云笔记，保存了用户不想让他人看的隐私，容易泄密。
特别是一些喜欢用云笔记记录密码、账务等信息的人。
电脑端防护还好些，但是手机端可以直接看到。
我之前已经通过软件的用户反馈提交了，不过没有人给我回复，就再这里重新提交一次。
漏洞证明：
首先是电脑端。
需要保密的笔记比较多，直接放在文件夹中，然后这个文件夹加密。
正常来说，我文件夹都点不进去，笔记应该很安全。
但是，在最新文档中，可以看到笔记，当然，只有标题没有内容。
但是，点右键，选择导出为pdf文件
竟然可以直接导出，（直接加密笔记，导出时提醒输入密码）
打开pdf看看，标题和内容全都在了。
然后是手机端。
如果加密的文件夹，里面还有子文件夹，没有加密。
手机软件的首页可以直接看到标题和概要。
点进去可以看到全部内容
如果笔记直接放在加密的文件夹中，首页看不到，但是可以直接搜索标题，然后就找到了。
当然，点进去会提示输入密码
修复方案：
虽然不存在远程泄露，但是被人拿到你的手机，也会被人看到。
何况，你身边可能就有很坑的队友，遇到“姥爷”酒局中的那种坑队友，仍然会泄露自己的隐私。
版权声明：转载请注明来源 Leniy@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2016-02-23 10:20
厂商回复：
感谢您对网易的关注！该问题属于产品设计问题，不属于安全漏洞，对您提的建议我们将会在以后采纳。
最新状态：
暂无