搜索

[5501] 2018-11-24_美国邮政总局将6千万用户数据暴露了逾一年之久

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-17
2018-11-24_美国邮政总局将6千万用户数据暴露了逾一年之久 美 国 邮 政 总 局 将 6 千 万 用 户 数 据 暴 露 了 逾 一 年 之 久 原 创   E 安 全   E 安 全   2 0 1 8 - 1 1 - 2 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m 小 编 来 报 ： 小 编 来 报 ： 美 国 邮 政 服 务 公 司 因 忽 视 身 份 验 证 监 督 而 暴 露 6 千 万 用 户 账 户 详 情 ， 任 何 人 只 要 登 陆 W e b 服 务 便 可 查 看 这 些 信 息 ， 这 种 情 况 持 续 了 逾 一 年 时 间 。 某 匿 名 研 究 员 发 现 ， 应 用 程 序 编 程 接 口 （ 简 称 应 用 程 序 编 程 接 口 （ 简 称 A P I ） 是 ） 是 U S P S 用 于 支 持 用 于 支 持 I n f o r m e d   V i s i b i l i t y 服 务 的 服 务 的 W e b 组 件 组 件 ， 该 组 件 并 未 对 用 户 读 取 其 他 用 户 的 电 子 邮 件 地 址 、 用 户 名 、 用 户 I D 、 账 号 、 街 道 地 址 及 电 话 号 码 等 其 他 用 户 账 号 数 据 信 息 进 行 适 当 的 访 问 控 制 。   I n f o r m e d   V i s i b i l i t y 计 划 旨 在 向 批 量 邮 件 发 送 者 提 供 “ 接 近 实 时 的 信 件 与 平 邮 跟 踪 信 息 。 ”   通 配 符 （ 通 配 符 （ W i l d c a r d ） 支 持 简 化 搜 索 ） 支 持 简 化 搜 索 攻 击 者 只 需 在 系 统 中 运 行 查 询 便 可 获 取 信 息 ， 还 可 利 用 通 配 符 检 查 那 些 分 享 了 搜 索 参 数 （ 例 如 街 道 地 址 ） 的 用 户 。   该 研 究 员 在 一 年 多 以 前 就 已 经 向 美 国 邮 政 服 务 公 司 通 报 了 该 问 题 ， 但 从 未 收 到 任 何 回 应 。 上 周 ， 该 研 究 员 同 调 查 记 者 布 赖 恩 · 克 雷 布 斯 （ B r i a n   K r e b s ） 分 享 该 报 告 后 ， 后 者 向 美 国 邮 政 服 务 公 司 通 报 了 该 问 题 。   美 国 邮 政 局 在 1 1 月 2 0 日 修 复 了 该 问 题 ， 并 告 诉 克 雷 布 斯 其 一 直 在 监 视 其 网 络 上 的 可 疑 活 动 。 该 公 司 将 继 续 开 展 调 查 ， 以 查 明 是 否 有 人 未 通 过 身 份 验 证 数 据 访 问 遭 泄 露 的 账 户 。   该 问 题 存 在 时 间 如 此 之 长 却 从 未 被 利 用 ， 这 实 在 匪 夷 所 思 。 2 0 1 4 年 ， 美 国 邮 政 服 务 公 司 曾 经 历 过 一 次 数 据 泄 露 事 件 ， 逾 逾 7 5 万 名 员 工 与 近 万 名 员 工 与 近 3 0 0 万 客 户 的 个 人 信 息 在 此 次 事 件 中 遭 泄 露 万 客 户 的 个 人 信 息 在 此 次 事 件 中 遭 泄 露 。   监 察 长 办 公 室 （ 简 称 监 察 长 办 公 室 （ 简 称 O I G ） 安 全 审 计 失 察 ） 安 全 审 计 失 察
总 监 察 长 办 公 室 利 用 1 3 台 I n f o r m e d   V i s i b i l i t y   （ 简 称 I V ） 服 务 器 执 行 的 一 次 安 全 审 计 也 未 能 将 其 检 测 出 来 ， 该 问 题 似 乎 是 从 缝 隙 中 溜 掉 的 。   1 0 月 发 布 的 一 份 报 告 发 现 ， I V 系 统 存 在 某 些 配 置 错 误 问 题 ， 但 无 一 项 提 及 为 读 取 用 户 数 据 添 加 访 问 控 制 ， 添 加 访 问 控 制 乃 信 息 安 全 的 底 线 。   审 计 发 现 的 问 题 有 有 W e b 应 用 程 序 通 信 协 议 中 的 身 份 验 证 与 加 密 问 题 ， 影 响 服 务 器 机 密 性 、 完 整 性 与 可 用 性 的 配 置 应 用 程 序 通 信 协 议 中 的 身 份 验 证 与 加 密 问 题 ， 影 响 服 务 器 机 密 性 、 完 整 性 与 可 用 性 的 配 置 错 误 问 题 ， 数 据 库 账 户 管 理 与 审 计 日 志 的 控 制 问 题 以 及 错 误 问 题 ， 数 据 库 账 户 管 理 与 审 计 日 志 的 控 制 问 题 以 及 I V 数 据 库 最 低 配 置 标 准 的 缺 失 问 题 数 据 库 最 低 配 置 标 准 的 缺 失 问 题 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： A d o b e   F l a s h   P l a y e r 发 布 更 新 解 决 远 程 代 码 执 行 漏 洞 亚 马 逊 用 户 电 子 邮 箱 地 址 在 黑 色 星 期 五 前 夕 外 泄 I n s t a g r a m 下 载 工 具 暴 露 用 户 密 码 T r i c k B o t 银 行 木 马 开 始 窃 取 W i n d o w s 问 题 纪 录 新 加 坡 与 加 拿 大 、 美 国 就 网 络 安 全 问 题 展 开 合 作 语 音 合 成 A P I   因 滥 用 在 C h r o m e   7 1 中 受 限 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理