Line 公司 行動條碼登入檢查驗證漏洞 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2019-01197
  •  發信 Vendor: LINE Corporation
  • Title: Line 公司 行動條碼登入檢查驗證漏洞
  • Introduction: 很好用的漏洞,點產生連結可以控制點擊者的帳號

處理狀態

目前狀態

公開
Last Update : 2020/03/13
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 已複測
  • 公開

處理歷程

  • 2019/10/20 02:00:48 : 新提交 (由 鄉民 更新此狀態)
  • 2019/10/20 22:03:13 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/10/21 15:45:29 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/10/21 15:46:21 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/10/21 15:46:21 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/12/06 15:59:16 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/12/06 16:07:15 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/12/17 17:11:51 : 修補中 (由 組織帳號 更新此狀態)
  • 2019/12/19 19:40:41 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/12/19 19:40:43 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/12/19 19:40:51 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2019/12/19 19:41:10 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2020/01/15 12:10:56 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2020/03/09 10:24:11 : 複測申請中 (由 組織帳號 更新此狀態)
  • 2020/03/10 00:56:56 : 確認已修補 (由 鄉民 更新此狀態)
  • 2020/03/13 03:00:05 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID:ZD-2019-01197
  • 通報者:鄉民
  • 風險:高
  • 類型:邏輯漏洞 (Logic Flaws)

參考資料

暫無資料
(本欄位資訊由系統根據漏洞類別自動產生,做為漏洞參考資料。)

相關網址

賢賢遭罵背骨!連千毅賣假貨 蘭庭:離職員自用
https://line.me/R/au/q/LWnyaBejQKYLFh4B7VuwimnY1KhCZ1pl?secret=Lp9426pC%2B5hAstQJ260N%2BnJWeCCUF6cvTwYGGtSQ23g%3D&e2eeVersion=1


雪莉死亡報告外流 細節全曝!消防員慘了
https://line.me/R/au/q/NG6rfjvo6VjFV4zVzcLdMWd4AneJkp0e?secret=3rBPtQnV6MSRY%2BmtFGPqSkkSphbzWXuDRVDIkLMsXS4%3D&e2eeVersion=1

敘述

漏洞種類:登錄驗證不夠仔細,使用者會以為按登入才能看到訊息,但登入後帳號被脅持了,手機板也不會被登出,沒感覺

重現漏洞方式:

1.LINE 用戶端 PC/MAC/Chrome 開啟使用【行動條碼登入】
圖片
2.使用 任意 APP QRCODE 掃描器 ,掃描【行動條碼登入】 QR CODE ,接著複製 URL
https://line.me/R/au/q/5f9aeKjvh5tAqW8pU4RThmAlCTvbCXcr?secret=M90EfvhWV6rZ%2FOd3T6%2BAg9vrciyZadSBI3gKEt3YuSU%3D&e2eeVersion=1

3.把 URL 傳送給聊天室的其他人點,可以加上聳動標題,例如:
中華電信研擬要跟進299 吃到飽
https://line.me/R/au/q/5f9aeKjvh5tAqW8pU4RThmAlCTvbCXcr?secret=M90EfvhWV6rZ%2FOd3T6%2BAg9vrciyZadSBI3gKEt3YuSU%3D&e2eeVersion=1

4.在遙控端的行動條碼登入端等待(可以是 PC/MAC/Chrome),

5.登入後可以控制整個帳號,但是 QRCODE 有時效性及一次性,要發再人多的 LINE 群吸引人點,要有即時性

6.後續可能有其˙他的社交工程商機!?

圖檔跟影片:

https://drive.google.com/drive/folders/1AkZAB2_QL67QhysG04YOV58hYc14yCdQ?usp=sharing

自我保護方式:登入下面網址檢查

https://line.me/R/nv/connectedDevices

發現原因

機器人或是攻擊者會加入附近家裡的7-11購物群組,放 https://line.me 開頭的連結上面放假新聞,點擊後我發現我的Line 被登入 ip在北京 ,趕快登出,回報店長,但我跟小七店長也被踢了。

提示訊息:

LINE系統提醒您,您目前已登入「CHROMEOS」。
使用裝置:BROWSER
若您本人並未登入上述裝置,請盡速前往以下連結並點選登出。
https://line.me/R/nv/connectedDevices

社交工程分析手法如下:

他們好像也沒有要翻群組(把人踢光)意思要釣魚

1.手法是加入登入小七的團購群組,拉人清單裡面的人到奇怪的直銷群

2.再來就出現有人加入,貼假釣魚新聞、聳動新聞
! ! 惡意連結請注意 開始 !!

賢賢遭罵背骨!連千毅賣假貨 蘭庭:離職員自用
https://line.me/R/au/q/LWnyaBejQKYLFh4B7VuwimnY1KhCZ1pl?secret=Lp9426pC%2B5hAstQJ260N%2BnJWeCCUF6cvTwYGGtSQ23g%3D&e2eeVersion=1

雪莉死亡報告外流 細節全曝!消防員慘了 ←我點到這個
https://line.me/R/au/q/NG6rfjvo6VjFV4zVzcLdMWd4AneJkp0e?secret=3rBPtQnV6MSRY%2BmtFGPqSkkSphbzWXuDRVDIkLMsXS4%3D&e2eeVersion=1

! 惡意連結請注意 結束 !

3.發現被登入跟line 檢舉,再跟tag 店長,我跟店長都被踢出
LINE系統提醒您,您目前已登入「CHROMEOS」。
使用裝置:BROWSER
若您本人並未登入上述裝置,請盡速前往以下連結並點選登出。
https://line.me/R/nv/connectedDevices

4.趕快打給該711店家,請他把惡意的人 踢掉(但有熱心網友先動手踢掉攻擊者

5.惡意帳號變成不明

6.用途經松鼠集運開發工程師 P (Peter yeh) 分析,這個 API Url 可以登入你的 Line 帳號,但有時效性,跟沒驗證

P表示該弱點是 LINE再部分地方有漏洞,不用第二次輸入驗證CODE。

攻擊者角色分析:

1.富偉是受害者,拉 攻擊者 「啵啵」到 小七群組進群組,當攻擊者進入後後退出(或者是他是發動這個手法的人?

2.角色:
啵啵:是控制用的
郭詮詮:蒐集清單是拉人到直銷群,後自己離開
柯基:Po 釣魚新聞連結 ,然後會踢人(控制著人工控制

3.所以小七群的群友發現把 柯基(控制者)、啵啵 踢掉就停止了

請注意就算看到連結 https://line.me/,點進去如果發現登入帳號請小心

感謝

松鼠集運-P(Peter Yeh 協助分析)、 土司貓 (toastcat 協助分析) 、[email protected](協助重現-被脅持)、[email protected](重現被脅持)、

修補建議

使用者若點擊鏈接,line 用戶端軟體可以有其他的驗證方式如再輸入指紋 passcode /簡訊/email 認證二階段認證方式,不要讓用戶直接很容易點一下,登入攻擊者所產生的連結。 要有更多提示,例如現在要再某某某電腦登入您的帳戶 ,請注意



LINE系統提醒您,您目前已登入「Sprs-MacBook-Pro.local」。
使用裝置:MAC
若您本人並未登入上述裝置,請盡速前往以下連結並點選登出。
https://line.me/R/nv/connectedDevices



擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫,討論有關於這個漏洞的相關資訊。
;