当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-050816

漏洞标题:A.sop CMS4.8及以下版本存在任意用户密码重置漏洞

相关厂商:北京航天四创软件公司

漏洞作者: 刺刺

提交时间:2014-02-13 14:31

修复时间:2014-05-14 14:32

公开时间:2014-05-14 14:32

漏洞类型:非授权访问/权限绕过

危害等级:中

自评Rank:8

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-02-13: 细节已通知厂商并且等待厂商处理中
2014-02-18: 厂商已经确认,细节仅向厂商公开
2014-02-21: 细节向第三方安全合作伙伴开放
2014-04-14: 细节向核心白帽子及相关领域专家公开
2014-04-24: 细节向普通白帽子公开
2014-05-04: 细节向实习白帽子公开
2014-05-14: 细节向公众公开

简要描述:

该漏洞影响的是A.sop CMS 4.8及以下版本,基本上是为http://www.wooyun.org/bugs/wooyun-2010-013964的补充;
本来这些版本的用户也没有几个了,加上版本较早,无论是兼容性还是功能性都没有什么亮点,但是还有几个相对有点分量,于是希望cncert能够协调告知。

详细说明:

a.sop CMS4.8以下版本权限控制松散,有很多功能权限的验证采用了js验证,或者是没有验证,其中影响最大的是管理用户部分:
比如:
http://cms.qingdao.gov.cn:10000/cmsweb/admin/loadUserAttrAction.do?dn=dc=cms,cn=human,sn=1
可以直接查看平台超级用户的资料:

4331.png


这里可以得到超级用户的用户名,变换sn=1的值,可以看到其他的管理用户信息;
这里只是个辅助;
主要的越权是直接重置用户密码;
比如:
http://cms.qingdao.gov.cn:10000/cmsweb/admin/resetUserPasswordAction.do?dn=dc=cms,cn=human,sn=1
直接get访问以上link,超级用户cmsdev的用户名就会被重置成password
(个别的可能存在js验证,你可以通过FF的noscript来验证)
继续补充一点,如何获取shell
使用重置密码的超级用户cmsdev登录,
http://cms.qingdao.gov.cn:10000/cmsweb
(由于该系统对浏览器的支持不好,建议你找一个低版本的IE,比如IE6)
点击内容管理,进入对应的栏目添加文章,
在附件上传那里直接上传jsp脚本即可

y9.png


上传完成,选择编辑器底部的html查看源码,可以看到上传的jsp脚本路径

j3.png


jsp脚本木马的路径就是
http://cms.qingdao.gov.cn:10000/n16858051/n16858711/n28030640.files/n28030645.jsp
访问如图:

09.png

漏洞证明:

目前能够搜到的A.sop cms大概有这些,南宁市,合肥市,科协,体育总局,青岛市等等:
http://cms.qingdao.gov.cn:10000/cmsweb
http://58.59.136.79:7001/cmsweb/
http://58.59.136.81:8000/cmsweb
http://218.21.246.6:7001/cmsweb
http://220.178.124.29:7001/cmsweb
http://210.14.113.47:7001/cmsweb/
http://220.178.124.33:7001/cmsweb
http://202.204.24.102:7001/cmsweb
http://cms.qingdao.gov.cn:10000/cmsweb
http://www.qdsn.gov.cn:7001/cmsweb
http://cms.laoshan.gov.cn:7001/cmsweb/
http://cms.sport.gov.cn/cmsweb/
验证重置科协的后台超级用户密码,password登入:

kx413.png


至于国家体育总局,看看用户信息可以
http://cms.sport.gov.cn/cmsweb/admin/loadUserAttrAction.do?dn=dc=cms,cn=human,sn=1
重置密码和上传就不验证了。(祝愿中国健儿在本届冬奥会取得更好的成绩!)
(其实从别的系统试探过,体育总局部署有WAF的,脚本木马会被拦截的。)

修复方案:

换一款CMS产品吧。
价格便宜,功能质量好的有很多。

版权声明:转载请注明来源 刺刺@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2014-02-18 10:04

厂商回复:

CNVD确认并在多个实例上复现所述情况,根据测试结果,已经转由CNCERT向广西、内蒙古、安徽、山东等省份下发处置任务,同时还将继续对可能存在更高层级用户进行测试。如后续有涉及国家部委网站的情况,也请白帽子继续提供。
rank 20

最新状态:

暂无