当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-022728

漏洞标题：联合国某署子站命令执行（貌似已经被万人轮了）

相关厂商：sgdatabase.unwomen.org

漏洞作者： 斯文的鸡蛋

提交时间：2013-05-02 16:43

修复时间：2013-06-16 16:44

公开时间：2013-06-16 16:44

漏洞类型：命令执行

危害等级：中

自评Rank：6

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-05-02： 细节已通知厂商并且等待厂商处理中
2013-05-06： 厂商已经确认，细节仅向厂商公开
2013-05-16： 细节向核心白帽子及相关领域专家公开
2013-05-26： 细节向普通白帽子公开
2013-06-05： 细节向实习白帽子公开
2013-06-16： 细节向公众公开

简要描述：

子站命令执行

详细说明：

http://sgdatabase.unwomen.org/home.action
网站物理路径： G:\Tomcat 6.0\sites\ROOT
java.home: C:\Program Files\Java\jre6
java.version: 1.6.0_30
os.name: Windows Server 2008 R2
os.arch: amd64
os.version: 6.1
user.name: LUCHTA$
user.home: C:\
user.dir: C:\Program Files\Apache Software Foundation\Tomcat 6.0
java.class.version: 50.0
java.class.path: C:\Program Files\Apache Software Foundation\Tomcat 6.0\bin\bootstrap.jar;C:\Program Files\Apache Software Foundation\Tomcat 6.0\bin\tomcat-juli.jar
java.library.path: C:\Program Files\Apache Software Foundation\Tomcat 6.0\bin;C:\Windows\Sun\Java\bin;C:\Windows\system32;C:\Windows;C:\Windows\system32;C:\Windows;C:\Windows\System32\Wbem;C:\Program Files\System Center Operations Manager 2007\;C:\Windows\System32\WindowsPowerShell\v1.0\;;.
file.separator: \
path.separator: ;
java.vendor: Sun Microsystems Inc.
java.vendor.url: http://java.sun.com/
java.vm.specification.version: 1.0
java.vm.specification.vendor: Sun Microsystems Inc.
java.vm.specification.name: Java Virtual Machine Specification
java.vm.version: 20.5-b03
java.vm.vendor: Sun Microsystems Inc.
java.vm.name: Java HotSpot(TM) 64-Bit Server VM
java.specification.version: 1.6
java.specification.vender: 
java.specification.name: Java Platform API Specification
java.io.tmpdir: C:\Program Files\Apache Software Foundation\Tomcat 6.0\temp

漏洞证明：

QQ截图20130428213638.jpg

修复方案：

升级 struts

版权声明：转载请注明来源 斯文的鸡蛋@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：6

确认时间：2013-05-06 22:28

厂商回复：

CNVD确认并复现所述情况，已在3日由CNVD直接联系联合国妇女署驻中国(北京)办事处，正式通报其网站一直存在的漏洞，对方反馈漏洞信息收悉，正协调技术力量着手修复。
rank 6

最新状态：

暂无