研究人员发现日本汽车大厂丰田（Toyota）的供应商管理网站存在一个单用电子邮件信箱，就能冒名访问的重大漏洞。丰田汽车已经完成漏洞修补。
美国研究人员EatonZveare是在丰田的全球供应商备料资讯管理系统（GlobalSupplierPreparationInformationManagementSystem，GSPIMS）上发现这项漏洞。GSPIMS（下图）是北美企业SHI为丰田开发的Angular-based单页式应用程序。漏洞出在GSPIMS对用户登录验证的JWT实例。JWT一般在用户登录网站时输入电子邮件和密码后，网站派发给用户的凭证，用户提供JWT给网站或API以证明自己的身份。
图片来源／EatonZveare
研究人员发现GSPIMS一项名为“ActAs”的功能中，只要提供电子邮件，不需密码就能触发回传JWT。意味着他只要输入有效的丰田员工电子邮件即能取得JWT。同时，研究人员发现丰田汽车北美员工的电子邮件格式具备可预测性，是以“名.姓
toyota.转载请注明：http://www.0431gb208.com/sjslczl/6188.html
