当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2011-03130

漏洞标题：天涯分站proxool池信息暴露

相关厂商：天涯

漏洞作者： piaoye

提交时间：2011-10-27 22:03

修复时间：2011-10-27 22:12

公开时间：2011-10-27 22:12

漏洞类型：重要敏感信息泄露

危害等级：低

自评Rank：5

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2011-10-27： 积极联系厂商并且等待厂商认领中，细节不对外公开
2011-10-27： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

proxool池信息暴露

详细说明：

没对proxool合理配置，导致proxool连接池信息泄露。

漏洞证明：

http://xsl.tianya.cn/admin?alias=dbread&tab=definition

修复方案：

配置web.xml

<security-constraint>  
  <web-resource-collection>  
      <web-resource-name>proxool</web-resource-name>   
      <url-pattern>/admin</url-pattern>  
  </web-resource-collection>  
  <auth-constraint>  
     <role-name>manager</role-name>   
     </auth-constraint>  
  </security-constraint>  
 <login-config>  
     <auth-method>BASIC</auth-method>   
     <realm-name>proxool manager Application</realm-name>   
  </login-config>  
  <security-role>  
    <description>The role that is required to log in to the Manager Application</description>   
     <role-name>manager</role-name>   
 </security-role>  
  <error-page>  
    <error-code>401</error-code>  
    <location>/401.jsp</location>  
  </error-page>  
</web-app>


详细参考http://sunnylocus.iteye.com/blog/359570

版权声明：转载请注明来源 piaoye@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：3 (WooYun评价)