漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0151182
漏洞标题：歌华有线漏洞打包已成功Getshell
相关厂商：Cncert国家互联网应急中心
漏洞作者： #Engel
提交时间：2015-11-05 22:41
修复时间：2015-12-24 10:40
公开时间：2015-12-24 10:40
漏洞类型：系统/服务补丁不及时
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-05： 细节已通知厂商并且等待厂商处理中
2015-11-09： 厂商已经确认，细节仅向厂商公开
2015-11-19： 细节向核心白帽子及相关领域专家公开
2015-11-29： 细节向普通白帽子公开
2015-12-09： 细节向实习白帽子公开
2015-12-24： 细节向公众公开
简要描述：
北京歌华有线电视网络股份有限公司（以下简称‘歌华有线’）于1999年9月经北京市人民政府批准成立，是唯一一家负责北京地区有线广播电视网络建设开发、经营、管理和维护的网络运营商，公司从事广播电视节目收转传送和广播电视网络信息服务，是北京市科学技术委员会核定的高新技术企业。2011年5月13日，入选第三届“文化企业30强”。
2001年在上海证券交易所上市（股票代码600037）
详细说明：
歌华有线集团歌华飞视存在
漏洞 1、struts2代码执行漏洞
漏洞 2、默认后台登录且可爆破
漏洞 3、网站文件泄露
漏洞 4、XSS跨站
漏洞 5、泄露传输加密方式
漏洞证明：
漏洞一
administrator权限
漏洞二
漏洞三
漏洞四
漏洞五
修复方案：
1、升级框架
2、限制访问权限
3、限制访问权限
4、过滤加转义
5、错误重定向处理
版权声明：转载请注明来源 #Engel@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2015-11-09 10:40
厂商回复：
CNVD确认并复现所述情况，已经转由CNCERT向北京歌华有线电视网络股份有限公司通报，由其后续协调网站管理单位处置。
最新状态：
暂无