漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-024405
漏洞标题：飞鱼星上网行为管理设计不当存在权限许可和访问控制的漏洞
相关厂商：飞鱼星上网行为管理
漏洞作者： 0x334
提交时间：2013-05-24 14:08
修复时间：2013-08-22 14:09
公开时间：2013-08-22 14:09
漏洞类型：设计不当
危害等级：低
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-24： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-08-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
飞鱼星上网行为管理设计不当存在权限许可和访问控制的漏洞，可被利用渗透内网
详细说明：
飞鱼星上网行为管理设计不当存在权限许可和访问控制的漏洞，可被利用渗透内网
飞鱼星VE系列（VOLANS Enterprise Series）上网行为管理路由器，专为中小企业、政府机关、教育及科研机构等用户设计，是具备“ 上网行为管理”、“多WAN路由器”以及“VPN网关”多重功能的新一代硬件网络接入设备。
可以获得一个互联网IP地址；但是默认开启了远程80端口访问，也就是说可以通过互联网访问该设备，而默认帐号密码为 admin admin，普通用户在使用过程中未进行口令修改，导致外部互联网恶意攻击者可以通过远程访问并登陆，通过搭建vpn，对内网进行渗透，严重影响企业安全。
漏洞证明：
如上
修复方案：
修改默认帐号密码
版权声明：转载请注明来源 0x334@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝