漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-050646
漏洞标题：某校软件工程研究所部分邮件被外网查看到
相关厂商：北京大学
漏洞作者： 路人甲
提交时间：2014-02-11 14:44
修复时间：2014-03-28 14:45
公开时间：2014-03-28 14:45
漏洞类型：网络未授权访问
危害等级：低
自评Rank：3
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-02-11： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-03-28： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
通过链接，某校的软件工程研究所的邮件竟然可以随意看到。
详细说明：
1. 通过谷歌搜索某老师的邮箱，内容是 hli.cleba ，看到一个链接mail.sei.pku.edu.cn/pipermail/act/2010-November/000225.html
2. 点击链接，发现可以看到老师和该校研究所往来的邮件内容
[Act] Fw: [Staffs] 学术交流：大型复杂系统的重构技术
.......
3. 进一步输入链接 http://mail.sei.pku.edu.cn/pipermail/act 会看到更多的内容
4. 点击链接查看到很多邮件，虽然不是很机密，但是能够看到一些本不该被看到的内容。似乎还有通讯录，但解压出来是乱码。
5. 如果在谷歌上搜索site: http://mail.sei.pku.edu.cn/ 也会看到这些邮件内容。
漏洞证明：
http://mail.sei.pku.edu.cn/pipermail/act/ 内容可以随意看。
邮件的内容会被谷歌搜到。
修复方案：
修改权限，特别是别把地址让外网搜索到，链接别让外网访问。
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝