漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2013-020355
漏洞标题:电信某增值业务系统命令执行漏洞
相关厂商:中国电信股份有限公司深圳分公司
漏洞作者: 路人甲
提交时间:2013-03-22 11:35
修复时间:2013-05-06 11:35
公开时间:2013-05-06 11:35
漏洞类型:命令执行
危害等级:中
自评Rank:5
漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2013-03-22: 细节已通知厂商并且等待厂商处理中
2013-03-24: 厂商已经确认,细节仅向厂商公开
2013-04-03: 细节向核心白帽子及相关领域专家公开
2013-04-13: 细节向普通白帽子公开
2013-04-23: 细节向实习白帽子公开
2013-05-06: 细节向公众公开
简要描述:
存在命令执行漏洞
详细说明:
老漏洞来的,Apache Struts2 XWork 绕过安全限制执行任意命令漏洞。号码百事通是电信重要增值业务之一,重要性还是较高的。网站虽然对apache降了权,用户是zdl,非管理员用户,为不对网站造成影响,没尝试上传webshell,不过网站有upload目录,相信有上传权限。
漏洞证明:
验证url:
修复方案:
升级struts至最新。由于官方最新的补丁对字符过滤比较严格,因此建议对最新的struts进行重新上线前测试,确保更新之后不会影响正常的业务系统。
最新版本下载地址:
http://struts.apache.org/
补丁下载地址:
http://svn.apache.org/viewvc?view=revision&revision=956389
版权声明:转载请注明来源 路人甲@乌云
漏洞回应
厂商回应:
危害等级:中
漏洞Rank:6
确认时间:2013-03-24 22:59
厂商回复:
CNVD确认并复现所述情况,已在22日下午转由CNCERT直接协调中国电信系统集成公司,由其进行处置。
按通用软件漏洞进行评分,rank 6
最新状态:
暂无