漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-060167
漏洞标题：圆通某系统tomcat引发的“血”案(二)
相关厂商：圆通
漏洞作者： 氓氓童鞋
提交时间：2014-05-10 15:52
修复时间：2014-06-24 15:53
公开时间：2014-06-24 15:53
漏洞类型：系统/服务运维配置不当
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-10： 细节已通知厂商并且等待厂商处理中
2014-05-12： 厂商已经确认，细节仅向厂商公开
2014-05-22： 细节向核心白帽子及相关领域专家公开
2014-06-01： 细节向普通白帽子公开
2014-06-11： 细节向实习白帽子公开
2014-06-24： 细节向公众公开
简要描述：
今天周末自然醒~~
想起来昨天发的有关圆通tomcat配置不当问题（详见http://www.wooyun.org/bugs/wooyun-2014-060043），突发奇想是不是别的系统也存在，毕竟是人家自主研发的系统嘛，运维配置应该是原班人马。
结果~~~
圆通~~我给你打包好了
详细说明：
圆通新龙你怎么就不知道举一反三呢？一个系统存在问题，怎么就不做个系统全面检查呢？安全方面可不要给圆通快递拖后腿哦~~~
早上的测试对象是圆通仓配一体管理平台，测试方法和漏洞情况和上次我发的一样（ WooYun: 圆通某转运系统tomcat引发的“血”案 ），圆通直接修复就好了，这次我就直接上图了。。。
打包URL:
圆通新龙主站http://www.ytoxl.com/manager/html tomcat tomcat
圆通仓配一体管理平台http://m2.ytoxl.com/manager/html tomcat tomcat
圆通新龙WMS系统：http://fio.ytoxl.com/manager/html tomcat tomcat
漏洞证明：
圆通新龙主站
圆通新龙WMS系统
修复方案：
同昨天修复过程,同时有必要做内部人员安全意识培训
版权声明：转载请注明来源 氓氓童鞋@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2014-05-12 17:13
厂商回复：
漏洞修复中，为同一系统的重复漏洞，故给的分数略低。
谢谢对圆通信息安全的关注！
最新状态：
暂无