漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-037357
漏洞标题：国航某站由于配置错误导致数千其他公司员工信息泄露(明文密码、邮箱）
相关厂商：中国国际航空股份有限公司
漏洞作者： 霍大然
提交时间：2013-09-17 10:53
修复时间：2013-11-01 10:53
公开时间：2013-11-01 10:53
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-09-17： 细节已通知厂商并且等待厂商处理中
2013-09-18： 厂商已经确认，细节仅向厂商公开
2013-09-28： 细节向核心白帽子及相关领域专家公开
2013-10-08： 细节向普通白帽子公开
2013-10-18： 细节向实习白帽子公开
2013-11-01： 细节向公众公开
简要描述：
看见厂商确认漏洞了，我也来一个比较厅巴的信息泄露：
国航某站由于配置错误导致数千其他公司员工及合作伙伴信息泄露(明文密码、邮箱、手机号等等），有厅局级干部中枪。
详细说明：
一、IP地址泄露
国航本来用的CDN把IP隐藏起来，但主页上的一个连接直接把老窝暴露了，北京的一个IP段
http://60.247.100.70:9090/webstat/ucstarclient_webcall/client/ucallclient_1.jsp
二、excel表格下载
http://60.247.100.70:9090/upload/
各种表格：
漏洞证明：
还有其他公司的客户以及excel
修复方案：
修改<directory>,不能用默认的
版权声明：转载请注明来源 霍大然@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2013-09-18 17:22
厂商回复：
配置错误，正在修改。十分感谢！
最新状态：
暂无