享健身xarefit 任意訪問/下載所有會員個資 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2021-00206
  •  發信 Vendor: 香港商宇晨品牌顧問有限公司台灣分公司
  • Title: 享健身xarefit 任意訪問/下載所有會員個資
  • Introduction: ...

處理狀態

目前狀態

公開
Last Update : 2021/06/19
  • 新提交
  • 已審核
  • 已通報
  • 未回報修補狀況
  • 未複測
  • 公開

處理歷程

  • 2021/04/19 17:33:37 : 新提交 (由 niench20 更新此狀態)
  • 2021/04/19 17:34:15 : 新提交 (由 niench20 更新此狀態)
  • 2021/04/19 17:35:30 : 新提交 (由 niench20 更新此狀態)
  • 2021/04/19 18:36:23 : 新提交 (由 niench20 更新此狀態)
  • 2021/04/19 18:53:29 : 新提交 (由 niench20 更新此狀態)
  • 2021/04/19 23:31:47 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2021/04/20 11:11:39 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2021/04/20 11:11:39 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2021/04/20 11:11:39 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2021/06/19 03:00:08 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID:ZD-2021-00206
  • 通報者:niench20 (niench20)
  • 風險:高
  • 類型:不安全的直接存取物件 (Insecure Direct Object References, IDOR)

參考資料

攻擊者可經由該漏洞取得系統中的其他使用者的資料或是系統檔案。

OWASP Top 10 - 2013 A4 - Insecure Direct Object References
https://www.owasp.org/index.php/Top_10_2013-A4-Insecure_Direct_Object_References

Insecure Direct Object Reference Prevention Cheat Sheet
https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Insecure_Direct_Object_Reference_Prevention_Cheat_Sheet.md

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control
(本欄位資訊由系統根據漏洞類別自動產生,做為漏洞參考資料。)

相關網址

https://xarefit.fitbutler.tw/?d=app&c=contract20&m=getContractMember&contract_id=1&member_id=570&type=phone&phone=0912345678

https://xarefit.fitbutler.tw/?d=app&c=contract20&m=getContractMember&contract_id=1&member_id=570

敘述

  1. 請求沒有嚴格驗證機制,只要遍歷member_id就可以訪問或下載個資

  2. 手機號碼phone參數未驗證,錯誤的手機號碼對應到存在的member id都可以取得伺服器回應(例如請求 https://xarefit.fitbutler.tw/?d=app&c=contract20&m=getContractMember&contract_id=1&member_id=570&type=phone&phone=0912345678 就可以取得會員570的個資、身分證圖片、正楷簽名)
    圖片
    或是把phone=09xxx去除 (https://xarefit.fitbutler.tw/?d=app&c=contract20&m=getContractMember&contract_id=1&member_id=570) 也可以得到伺服器回應
    圖片

  3. 對member_id遞增請求,就可以取得所有會員個資(合約編號、姓名、手機號碼、身分證或是居留證圖片、正楷簽名、緊急聯絡人姓名、緊急連絡人關係、緊急連絡人電話)
    圖片

除了以上漏洞,好像還有很多嚴重問題????

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫,討論有關於這個漏洞的相關資訊。
;