漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0131576
漏洞标题：东方通信某金融服务管理系统后台存在弱口令导致近百万敏感信息泄露+任意文件上传
相关厂商：东方通信
漏洞作者： 二愣子
提交时间：2015-08-04 16:02
修复时间：2015-09-21 10:26
公开时间：2015-09-21 10:26
漏洞类型：后台弱口令
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-08-04： 细节已通知厂商并且等待厂商处理中
2015-08-07： 厂商已经确认，细节仅向厂商公开
2015-08-17： 细节向核心白帽子及相关领域专家公开
2015-08-27： 细节向普通白帽子公开
2015-09-06： 细节向实习白帽子公开
2015-09-21： 细节向公众公开
简要描述：
东方通信股份有限公司（以下简称“东方通信”），前身企业创立于1958年，1990年以来引进摩托罗拉先进的移动通信技术，形成了中国移动通信主营业务，不断引领中国移动通信产业潮流，1996年成功改制上市，成为上海股市同时发行B股和A股的中国移动通信产业上市公司（股票代码600776），是中国普天信息产业集团旗下专业从事移动通信产业的骨干企业。
详细说明：
http://jrwork.eastcom.com/brm/portalbcs/framework.do?action=index&&action=login
此处存在弱口令
导致上百万敏感数据泄露
泄露并可以修改与各大银行之间的客户结构，4000多份销售合同，3000份服务合同，60000多份发货详情信息，1000余条开票信息，1000余条收款信息，60000多份设备方案信息+客户详情信息
上万条客户投诉信息以及回访信息，50000多条设备安装信息（包括客户单位，地址），50000多条库存信息，100000余条收货详情，28万余条返货详情，近50万条短信记录信息（客户名称，
单位，电话信息泄露），15万条邮件记录（客户名称，单位，联系方式），近1600条内部员工电话，姓名，OA邮箱地址，所属机构等...
漏洞证明：
太多了，没有一一截图
后台页面
登陆之后
近50w邮件信息泄露，包括地址，联系人以及电话号码
近30w邮包信息泄露
1500名内部员工信息泄露
任意文件上传
修复方案：
禁止使用弱口令~~~~
版权声明：转载请注明来源 二愣子@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：13
确认时间：2015-08-07 10:25
厂商回复：
CNVD确认并复现所述情况，已由CNVD通过软件生产厂商（或网站管理方）公开联系渠道向其邮件（和电话）通报，由其后续提供解决方案并协调相关用户单位处置。
最新状态：
暂无