[Bounty] 台灣電力公司所有員工帳號劫持

Vulnerability Overview

ZDID: ZD-2022-00178
發信 Vendor: 台灣電力公司
Title: [Bounty] 台灣電力公司所有員工帳號劫持
Introduction: 可劫持所有員工帳號

處理狀態

目前狀態

公開

Last Update : 2022/04/23

新提交
已審核
已通報
已修補
已複測
公開

處理歷程

2022/02/28 03:13:53 : 新提交 (由 ccoozzyy 更新此狀態)
2022/02/28 03:17:20 : 新提交 (由 ccoozzyy 更新此狀態)
2022/02/28 03:25:16 : 新提交 (由 ccoozzyy 更新此狀態)
2022/03/01 10:45:54 : 審核中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2022/04/18 16:25:21 : 複測申請中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2022/04/19 14:25:47 : 確認已修補 (由 ccoozzyy 更新此狀態)
2022/04/23 03:00:09 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2022-00178
通報者：ccoozzyy (ccoozzyy)
風險：中
類型：邏輯漏洞 (Logic Flaws)

參考資料

攻擊者可經由該漏洞繞過網站邏輯行為進行惡意攻擊。

漏洞說明： OWASP - Testing for business logic
https://www.owasp.org/index.php/Testing_for_business_logic

漏洞說明： CWE-840: Business Logic Errors
https://cwe.mitre.org/data/definitions/840.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

自行註冊測試帳號 johndou0227 並登入 https://webstorage.taipower.com.tw/portal/#/login/register
新增任意檔案後 > 點選分享 > 攔截封包
https://webstorage.taipower.com.tw/SynDriver/service/sharing/targets?authorization=syndriver_portal+c2f1c9ee-6d19-4fd3-9d31-31220720d94a&collections=Group&collections=PersonalContact&collections=PersonalContactGroup&collections=User&keyword=
從中可發現台電 41,793 筆員工資訊，包含帳號、email、userId等。
從檔案中搜尋得知測試帳號 johndou0227 的 id 為 78860f37b40af361c785066dad232967c6f89b87
透過 https://webstorage.taipower.com.tw/portal/dist/app-dd02afe070.js 檔案中，可發現重設密碼的 API。
只要知道 userId 與 loginId 即可重設密碼，例如重設測試帳號 johndou0227
查詢 admin 的帳號資訊。
成功重設 admin 密碼。
密碼重設成功，但因為admin帳號尚未啟用，所以無法登入。
攻擊者仍可透過搜尋已啟用的帳號進行帳號劫持，並下載機敏檔案。