漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0139319
漏洞标题：国泰安内部账户泄露可内网（7000内部通讯录/内部资料/应聘简历/任意即时通讯比如跟总裁聊天/视频会议等）
相关厂商：国泰安信息技术有限公司
漏洞作者： 路人甲
提交时间：2015-09-06 16:08
修复时间：2015-10-21 16:10
公开时间：2015-10-21 16:10
漏洞类型：账户体系控制不严
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-09-06： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-10-21： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
可以跟总裁……
即时通讯~
详细说明：
国泰安教育技术股份有限公司是一家为教育与投资业提供综合解决方案的国家级高新技术企业，是深圳市政府重点支持的高科技龙头企业。自2000年以来，国泰安一直致力为国内外教育和投资机构提供集“研究数据、专业实验、云平台建设、软硬件系统和增值服务”为一体的综合性解决方案。
##0x01##
收件箱中含应聘者简历/公司内部资料等，通讯录。
##0x02##
殃及另外系统 国泰安文档平台（企业云盘）：
以上账号密码可登入。
可查看大量公司内部资料，7000内部各个阶层通讯录，可以任意联系人即时通讯，发起/参加视频会议等。
跟总裁聊个天？可以~
##0x03##可登VPN入内网：
注：登VPN需要在IE浏览器+OS 32位操作。根据提示安装完插件，即可登录。
然后OA：
漏洞证明：
已证明~
修复方案：
改~
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：15 (WooYun评价)