DTE Insight には、ユーザの情報が他のユーザに漏えいする脆弱性が存在します。 情報漏えい (CWE-200) - CVE-2016-1562 DTE Energy は、契約しているユーザがエネルギー使用に関する情報を閲覧するためのアプリケーション DTE Insight を提供しています。DTE Insight は、HTTP REST API 経由で情報を取得しています。 CWE-200: Information Exposure http://cwe.mitre.org/data/definitions/200.html この API にはユーザが改ざん可能な filter パラメータが含まれています。このパラメータによって、サーバから返されるユーザ情報が決定されます。filter パラメータを改ざんすることで、ユーザは他のユーザの情報を取得することが可能です。 発見者はさらに詳しい情報をブログポストで公開しています。 ブログポスト http://jeffq.com/blog/dteenergy-insight/

この問題はサーバ側で対策が完了しており、発見者は現時点で他者の情報にアクセスできなくなっていることを確認しています。