网信办通报漏洞

4月15日，网信网信办一则通报在安全圈刷了屏。办通报漏通报点名某头部短视频平台存在高危漏洞，网信攻击者能绕过权限校验直接读取用户私信内容。办通报漏这不是网信网信办第一次通报漏洞，但这次措辞明显更重——“性质恶劣”四个字直接写进了标题。办通报漏

我翻了下通报原文，网信漏洞出在私信接口的办通报漏鉴权逻辑上。简单说，网信正常请求应该带用户token去校验身份，办通报漏但攻击者构造一个空token，网信服务端居然也放行了。办通报漏更离谱的网信是，这个接口返回的办通报漏数据里包含完整的私信会话记录，包括已删除的网信消息。换句话说，只要知道对方用户ID，就能把人家删掉的聊天记录翻出来。

这漏洞不是孤例。去年某电商平台也出过类似问题，订单查询接口没做越权校验，改个订单号就能看别人买了什么。当时厂商回应说“已修复”，但据我所知，黑产手里囤的漏洞利用脚本到现在还在卖。网信办这次通报里专门提了一句“举一反三”，意思很明确：别以为修完就完了，同类接口都得查。

通报里还有个细节值得琢磨。漏洞是白帽子在3月提交的，平台方拖到4月初才修。中间这半个月，通报没说数据有没有被实际利用，但按行业惯例，这种高危漏洞从提交到修复的窗口期，足够黑产扫好几轮了。我认识的一个渗透测试工程师说，他们内部有个说法叫“黄金72小时”——漏洞提交后三天内不修，基本等于公开。

网信办这次动作挺快。通报当天，涉事平台股价跌了4个点。有做安全合规的朋友跟我聊，说现在监管对漏洞的态度变了。以前是“出了事再罚”，现在是“发现漏洞就通报”，不管有没有实际泄露。这招狠在哪儿？它把安全责任往前推了一大步——你不能等用户数据被卖了才着急，漏洞存在本身就是问题。

不过也有安全圈的人吐槽，说通报只点了平台名，没提漏洞具体技术细节，其他厂商想自查都不知道从哪下手。这话有道理，但换个角度想，细节公开了，黑产学得更快。监管在“警示”和“教唆”之间走钢丝，分寸不好拿捏。

我注意到通报末尾附了举报渠道，鼓励白帽子继续提交漏洞。这信号挺积极——官方在试图把民间安全力量纳入监管框架。以前白帽子挖到漏洞，要么卖给厂商换奖金，要么被黑产高价收走。现在多了一条路：提交给网信办，由官方通报。当然，这条路能不能走通，还得看后续有没有配套的奖励和保护机制。

说回这次漏洞本身。私信数据泄露和手机号泄露完全是两个量级。手机号泄露顶多被推销电话骚扰，私信里可能有身份证照片、转账记录、甚至更私密的内容。平台把用户私信当“核心资产”宣传，结果连最基本的鉴权都没做对。这事讽刺的地方在于，他们花大价钱做的端到端加密，被一个空token绕过去了。

通报发出后，涉事平台发了份整改声明，承诺“全面排查接口权限”。这种声明我见多了，关键看后续。按网信办的一贯作风，大概率会有复查。如果复查再发现问题，那就不是通报批评的事了。

安全这行有句老话：漏洞永远修不完，但态度能看出来。有的厂商把漏洞当bug，修完就忘；有的厂商把漏洞当信号，顺着查整条业务线。这次通报像一次突击考试，考的是平台把用户数据当什么——是资产，还是负担。