漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2014-061548
漏洞标题:浪潮某软件产品存在通用数据库账号和密码
相关厂商:浪潮软件
漏洞作者: 路人甲
提交时间:2014-05-20 09:32
修复时间:2014-08-18 09:34
公开时间:2014-08-18 09:34
漏洞类型:设计错误/逻辑缺陷
危害等级:高
自评Rank:20
漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2014-05-20: 细节已通知厂商并且等待厂商处理中
2014-05-25: 厂商已经确认,细节仅向厂商公开
2014-05-28: 细节向第三方安全合作伙伴开放
2014-07-19: 细节向核心白帽子及相关领域专家公开
2014-07-29: 细节向普通白帽子公开
2014-08-08: 细节向实习白帽子公开
2014-08-18: 细节向公众公开
简要描述:
浪潮某软件产品使用的数据库为sqlserver,存在通用数据库账号和密码,因为通过搜索引擎可以查到具体数据库用户名和密码,所以有些细节的地方做了一些涂鸦,以免被人利用。
详细说明:
此漏洞已经存在多年,不知道新版的产品有没有类似漏洞。近日在做其他测试时,又重新测试了一下该漏洞,发现在互联网上仍有一些系统存在该漏洞,希望能引起厂家的重视。
漏洞产生的原因,个人认为可能是该软件为c/s结构,一般会有一个或几十个用户使用,为了方便用户操作,每建立一个应用程序的用户,程序就会自动在数据库中新建一个表,并对应建一个以l开头的数据库用户和一个通用的密码,每个l开头的数据库用户名都是有规律的,而且密码都是一样的,所以入侵者也就有了其他新建表的数据读取权限。估计这么做是为了方便用户在前台的程序操作上,而不需要关心后台数据是如何运行的,但这样就产生了安全隐患,好在这些新建的数据库用户只是dbo权限,无法执行master中的xp_cmdshell。
下面的信息请乌云确认漏洞后,请予以删除,以免对厂商和用户产生不良影响:
有漏洞的软件为浪潮财务软件,自动建立的数据库用户名为lc00***,lc00***,lc00***,以此类推,密码都是a***,在外网发现了不少安装有这个软件的服务器,内网用户就更多了,已知影响外网的服务器有一下:
上面的信息请乌云确认漏洞后,请予以删除,以免对厂商和用户产生不良影响。
漏洞证明:
修复方案:
可考虑随机生成用户名和密码
版权声明:转载请注明来源 路人甲@乌云
漏洞回应
厂商回应:
危害等级:高
漏洞Rank:15
确认时间:2014-05-25 08:59
厂商回复:
作为默认部署情况,暂不作为漏 洞 进行确认,以安全风险进行认定。已经由cnvd直接通报山东浪潮齐鲁软件股份产业有限公司,由其协助处置。
最新状态:
暂无