勞保局e化服務系統網站漏洞 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2022-00646
  •  發信 Vendor: 勞動部勞工保險局
  • Title: 勞保局e化服務系統網站漏洞
  • Introduction: 敏感資訊未加密

處理狀態

目前狀態

公開
Last Update : 2022/10/19
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 未複測
  • 公開

處理歷程

  • 2022/08/12 22:10:50 : 新提交 (由 keyway 更新此狀態)
  • 2022/08/16 01:10:35 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2022/08/31 18:13:40 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2022/08/31 18:13:40 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2022/10/11 19:55:00 : 已修補 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2022/10/11 19:59:22 : 已修補 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2022/10/11 19:59:35 : 已修補 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2022/10/19 03:00:02 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2022-00646
  • 通報者：xu628956 (keyway)
  • 風險：中
  • 類型：資訊洩漏 (Information Leakage)

參考資料

攻擊者可利用洩漏資訊進行下一步攻擊行為。

OWASP 漏洞說明 (Top 10 2017 - A3 Sensitive Data Exposure)
https://www.owasp.org/index.php/Top_10-2017_A3-Sensitive_Data_Exposure

CWE-200 漏洞說明
https://cwe.mitre.org/data/definitions/200.html
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://mes.bli.gov.tw/me/#/na/login

敘述

漏洞：
OWASP A02:2021-加密機制失效

問題：
1.使用者操作軌跡,直接揭露在瀏覽器開發工具且包含敏感資訊
2.敏感資訊未加密(例:身分證字號、出生年月日、自然人憑證PIN碼)
3.用於伺服器端紀錄軌跡的「瀏覽器」和「裝置資訊」並未實作，而是統一帶test

影響：
1.有心人士能透過公用電腦盜取個資
2.當https加密被破解時,可能造成個資外洩

螢幕截圖：
圖片

修補建議

開發時的LOG( console.log() )應於上線前移除，且敏感資訊應使用安全加密方式加密後,才透過API傳送到伺服器

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;