勞動部外國專業人員工作許可申辦網目錄遍歷&存取控制失效

Vulnerability Overview

ZDID: ZD-2025-00345
發信 Vendor: 勞動部
Title: 勞動部外國專業人員工作許可申辦網目錄遍歷&存取控制失效
Introduction: 目錄遍歷&存取控制失效

處理狀態

目前狀態

公開

Last Update : 2025/06/21

新提交
已審核
已通報
已修補
已複測
公開

處理歷程

2025/04/28 14:31:41 : 新提交 (由 wolfheluo 更新此狀態)
2025/04/28 16:55:59 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/05/02 16:39:50 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/05/02 16:39:50 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/05/02 16:39:50 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/06/03 11:41:23 : 複測申請中 (由組織帳號更新此狀態)
2025/06/17 23:31:33 : 確認已修補 (由 wolfheluo 更新此狀態)
2025/06/21 03:00:07 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2025-00345
通報者：wolfheluo (wolfheluo)
風險：嚴重
類型：存取控制缺陷 (Broken Access Control)

參考資料

攻擊者可經由該漏洞取得、修改、刪除系統中的其他使用者的資料，或連線至高權限使用者的頁面。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

目錄遍歷（Directory Traversal）

說明：
透過以下參數繞過檔案路徑限制：
_action=news10/../admin50/admin50_ep.xml

成功存取原本不應公開的檔案，確認存在目錄遍歷風險。

目錄遍歷成功存取 GIF

腳本自動化掃描與敏感功能發現

說明：
使用腳本對 _action 參數進行自動掃描，發現如：
_action=news10/../sys060/sys060_qplp.xml

該頁面可被存取，並支援萬用字元查詢，具有使用者列舉風險。

腳本掃描結果與功能頁面 GIF

修補建議

經檢測發現，該系統存在多項嚴重資安漏洞，屬於重大資安缺失。
一般帳號未經授權可操作網站多項功能，進而取得全站(涵蓋雇主、外國人等)數十萬筆帳號資訊，
漏洞類型包含：
•目錄遍歷(Directory Traversal)
•存取控制失效(Broken Access Control)
此類漏洞早被各資安標準列為基本防範要項，如：
•OWASP Top 10:2021 A01 Broken Access Control
•OWASP Top 10:2021 A04 Insecure Design
問題可能源自網站初始架構設計，並非單一功能之程式錯誤所致，
該系統為政府對外公開服務平台，涉及大量具敏感性之個資，
應全面回溯記錄(Logging)進行調查，釐清是否已有外洩情形。

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

勞動部外國專業人員工作許可申辦網目錄遍歷&存取控制失效 - HITCON ZeroDay

Vulnerability Detail Report