長庚巡迴體檢中心 APP 的 API 有 IDOR - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2025-00515
  •  發信 Vendor: 衛生福利部
  • Title: 長庚巡迴體檢中心 APP 的 API 有 IDOR
  • Introduction: 不須授權即可存取報告

處理狀態

目前狀態

公開
Last Update : 2025/06/28
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 已複測
  • 公開

處理歷程

  • 2025/06/03 22:47:57 : 新提交 (由 Jimmy 更新此狀態)
  • 2025/06/04 21:31:29 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/06/12 16:13:22 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/06/12 16:13:22 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/06/12 16:13:22 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/06/24 16:09:54 : 複測申請中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2025/06/24 16:30:13 : 確認已修補 (由 Jimmy 更新此狀態)
  • 2025/06/28 03:00:23 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2025-00515
  • 通報者：AVer (Jimmy)
  • 風險：高
  • 類型：不安全的直接存取物件 (Insecure Direct Object References, IDOR)

參考資料

攻擊者可經由該漏洞取得系統中的其他使用者的資料或是系統檔案。

OWASP Top 10 - 2013 A4 - Insecure Direct Object References
https://www.owasp.org/index.php/Top_10_2013-A4-Insecure_Direct_Object_References

Insecure Direct Object Reference Prevention Cheat Sheet
https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Insecure_Direct_Object_Reference_Prevention_Cheat_Sheet.md

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://play.google.com/store/apps/details?id=com.h2uclub.h2u_examine_cgmh&hl=zh_TW
http://cgmhreport.examine.com.tw/reportAll_CGMH_List.aspx?ID=

敘述

逆向APP可以發現存取報告的網址由以下組成
"http://cgmhreport.examine.com.tw/reportAll_CGMH_List.aspx?ID=" + getShareSetting(ManagerDefine.HEALTHY__LOGIN_ID)

而"getShareSetting(ManagerDefine.HEALTHY__LOGIN_ID)" 為身份證字號
圖片

用瀏覽器開啟組合網址即可觀看報告，所以理論上有他人身分證字號即可觀看報告。另外，因為身分證字號的組成有固定公式，可以用爆破的方式取得他人報告。
圖片

修補建議

建議新增一個API取得觀看報告的token，而不是直接使用身分證字號即可存取報告。

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;