Justfont Client Agent HTTP connection without TLS - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2016-00187
  • Vendor: Justfont
  • Title: Justfont Client Agent HTTP connection without TLS
  • Introduction: 就我不知道他為什麼網站有HTTPS但是Client登密碼的時候走HTTP啊

處理狀態

目前狀態

公開
Last Update : 2016/11/02
  • 新提交
  • 已審核
  • 已通報
  • 未回報修補狀況
  • 未複測
  • 公開

處理歷程

  • 2016/08/31 23:40:34 : 新提交 (由 Pichu Chen 更新此狀態)
  • 2016/09/06 10:31:30 : 審核中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2016/09/06 15:23:30 : 審核未通過 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2016/09/13 16:32:07 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2016/09/18 15:01:16 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2016/09/27 23:16:33 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2016/11/02 01:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2016-00187
  • 通報者：PichuChen (Pichu Chen)
  • 風險：高
  • 類型：資訊洩漏 (Information Leakage)

參考資料

暫無資料
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://www.justfont.com/index/aboutstore/
下載Client後用Wireshark觀察175.41.145.61即可看到帳號密碼飛過。

敘述

需要補資料的話再與我聯絡

--

ZeroDay 團隊補充:

網站伺服器 HTTPS 設定不安全，易導致 POODLE 等漏洞。建議依照坊間 HTTPS 憑證檢查的流程改善。如 https://www.ssllabs.com/ssltest/analyze.html?d=www.justfont.com&latest

擷圖

留言討論

;