漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-085883
漏洞标题：华润三九某子网站员工敏感信息泄漏引起的一系列问题
相关厂商：华润三九
漏洞作者： 老周
提交时间：2014-12-04 21:00
修复时间：2014-12-09 21:02
公开时间：2014-12-09 21:02
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-04： 细节已通知厂商并且等待厂商处理中
2014-12-09： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
子网站信息泄漏，造成的集团员工账户信息泄漏
详细说明：
通过对子网站的检测，发现系统中员工信息管理功能存在越权操作，用户可以在不经任何身份认证的情况下对集团员工信息进行访问
通过对该信息的收集，得到集团用户信息，虽然不知道是否为最新状态，但是破解emali弱口令应该是够了。
通过对弱口令的分析，得到部分账户，进入账户进行下一步的信息收集。
得到MCC系统登录信息
得到双鹤流量系统信息
得到其他系统信息
得到集团VPN以及测试环境信息
另外，在对SMS系统的测试过程中，发现由于这样的提示
这样，收集到的email弱口令可以用在该系统中。
漏洞证明：
得到MCC系统登录信息
得到双鹤流量系统信息
得到其他系统信息
得到集团VPN以及测试环境信息
修复方案：
消除系统敏感信息
版权声明：转载请注明来源 老周@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-12-09 21:02
厂商回复：
最新状态：
暂无