漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0188301
漏洞标题：软通动力旗下云计算平台通云任意账户登陆影响82W用户
相关厂商：软通动力
漏洞作者： Looke
提交时间：2016-03-24 09:36
修复时间：2016-05-08 18:11
公开时间：2016-05-08 18:11
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-03-24： 细节已通知厂商并且等待厂商处理中
2016-03-24： 厂商已经确认，细节仅向厂商公开
2016-04-03： 细节向核心白帽子及相关领域专家公开
2016-04-13： 细节向普通白帽子公开
2016-04-23： 细节向实习白帽子公开
2016-05-08： 细节向公众公开
简要描述：
软通动力是中国领先的全方位IT服务及行业解决方案提供商，立足中国，服务大中华区和全球市场。业务范围涵盖咨询及解决方案、IT 服务及业务流程外包（BPO）服务等，是高科技、通信、银行/企业金融/保险、能源/交通/公用事业等行业重要的IT综合服务提供商和战略合作伙伴。现有员工35000名员工。
● 2011、2010 IAOP 全球外包百强
● 2009 Red Herring 全球百强
● 2011、2010、2009中国服务外包十大领军企业（商务部）
● 2010、2009中国软件业务收入前百家企业（工信部）
● 德勤2009、2008、2007及2006年度中国高科技、高成长50强
● 2010、2009中国优秀企业公民（中国社工协会企业公民委员会）
● 2010中国最佳雇主企业（国际人力资源管理协会）
详细说明：
漏洞系统：http://cloud.isoftstone.com/
已注册企业 21182 家，注册用户824828人！
找到官方联系账号：58653884@qq.com，以此账号为例
过程如下：
1、输入目标账号：
2、输入任意验证码， 提交时修改返回数据包，进入下一步
3、输入新密码，提交
4、密码重置成功
漏洞证明：
账号：58653884@qq.com 密码：wooyun123
公司详细信息、员工信息泄漏
订单信息
修复方案：
严格校验用户凭证（如token），防止本地绕过
版权声明：转载请注明来源 Looke@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2016-03-24 18:11
厂商回复：
已确认漏洞，感谢您关注软通动力信息安全。
最新状态：
暂无