漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-080595
漏洞标题：itools.cn MongoDB数据库未授权访问导致敏感信息泄露
相关厂商：深圳创想天空科技有限公司
漏洞作者： 几何黑店
提交时间：2014-10-24 15:56
修复时间：2014-10-29 15:58
公开时间：2014-10-29 15:58
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-10-24： 细节已通知厂商并且等待厂商处理中
2014-10-29： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
itools.cn一台监控服务器使用了MongoDB数据库,但是没做限制,可以直接访问,数据表里存在itools.cn的所有HOST,还有管理员的用户名和密码.
详细说明：
itools.cn一台监控服务器使用了MongoDB数据库,但是没做限制,可以直接访问,数据表里存在itools.cn的所有HOST,还有管理员的用户名和密码,密码是普通的MD5加密,弄到CMD5上一跑,密码就出来了,而后测试了所有的HOST,有几台是管理后台,用测试出来的用户名密码登陆这些管理后台,均可登陆.而且是系统管理员权限,还有几个系统管理员的密码是123456这种简单密码.
漏洞证明：
数据库IP地址:118.26.152.185
管理员用户名:wangxj
管理员密码:jsge2rmq
后台地址:http://118.26.145.93/
http://118.26.145.73:8080/
http://118.26.152.185/
http://118.26.145.87:82/index.php?r=admini/public/login
修复方案：
数据库做访问限制,修改弱口令,管理后台限制访问,管理员以及员工开展自查,包括QQ,邮箱等,以防被社工.
版权声明：转载请注明来源 几何黑店@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-10-29 15:58
厂商回复：
漏洞Rank：15 (WooYun评价)
最新状态：
2014-10-30：非常感谢洞主提交。我们已修复。
2014-10-30：此问题由于我司开发人员一时疏忽没有设置访问限制，同时暴露出我司对安全方面的管理不足，我们已经加强安全检测，再次感谢洞主，感谢广大用户对iTools的关切。如发现有更多问题，欢迎随时指正！