漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0163302
漏洞标题：分享通信越权访问系统日志+弱口令+审计帐号弱口令导致session、协同办公、全公司通讯录泄露
相关厂商：分享通信
漏洞作者： 路人甲
提交时间：2015-12-22 14:18
修复时间：2016-02-09 23:29
公开时间：2016-02-09 23:29
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-22： 细节已通知厂商并且等待厂商处理中
2015-12-26： 厂商已经确认，细节仅向厂商公开
2016-01-05： 细节向核心白帽子及相关领域专家公开
2016-01-15： 细节向普通白帽子公开
2016-01-25： 细节向实习白帽子公开
2016-02-09： 细节向公众公开
简要描述：
分享通服务于电信行业产品研发和业务运营工作，为中国移动、中国电信、中国联通、国家有线电视网络、中国工商银行总行、中国银行总行、中国国际航空公司等70余家企业巨头提供基于“相关云”云计算平台、电信放大数据平台的行业应用产品、移动通信服务及移动互联网解决方案，在金融、教育、航空领域有成功解决方案及丰富案例。
分享通信为第一批获得移动转售牌照的虚拟运营商。2014年5月9日，分享通信集团正式发布其虚拟运营商品牌“分享通信”，同期还发布了针对高端用户的“399分享无限畅打”套餐，每月套餐费399元，可享受不限语音通话时长、180条短信和3GB上网流量的服务。这一套餐已在正和岛（我国商界的高端人脉与价值分享平台）企业家中试商用。
分享通信成立于2006年，是获国家批准的移动通信运营商，主要经营移动通信产品、行业化应用、移动互联网产品，目前总部设立于北京，在全国31个省市设立分公司和分支机构。
2013年12月26日，分享通信获得全国电信运营商牌照，以民营企业身份跻身电信运营商之列，2014年6月，分享通信正式对外发布170号段及子品牌“集”和“享”，用户可以选取号码及分享通信服务。
详细说明：
#1越权访问系统日志session泄露
**.**.**.**/seeyon//logs/ctp.log
#2弱口令协同办公、全公司通讯录
**.**.**.**/seeyon/
zhouhongli 123456
#3审计帐号
audit-admin 123456
漏洞证明：
同上
修复方案：
修复
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2015-12-26 23:34
厂商回复：
CNVD确认所述情况，已经由CNVD通过网站公开联系方式向网站管理单位通报。
最新状态：
暂无