当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-093778

漏洞标题:抠抠电子商务系统配置不当影响企业内部信息安全

相关厂商:抠抠(福建)电子商务有限公司

漏洞作者: 一天到晚吃

提交时间:2015-01-26 11:25

修复时间:2015-03-12 11:26

公开时间:2015-03-12 11:26

漏洞类型:系统/服务运维配置不当

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-01-26: 细节已通知厂商并且等待厂商处理中
2015-01-26: 厂商已经确认,细节仅向厂商公开
2015-02-05: 细节向核心白帽子及相关领域专家公开
2015-02-15: 细节向普通白帽子公开
2015-02-25: 细节向实习白帽子公开
2015-03-12: 细节向公众公开

简要描述:

抠抠(福建)电子商务系统某系统配置不当,影响企业内部信息安全

详细说明:

抠抠(福建)电子商务系统邮件系统配置不当,可以无需邮件系统的身份认证即可以企业内部邮箱使用smtp进行发信,进行发信人伪造,可以进行社工,欺骗公司内部员工,影响企业安全
mail.kouclo.com

漏洞证明:

1.png


如图,整个过程已经很清楚,如果是配置好的邮件服务器,即会提示“禁止伪造邮件发信人”或者“没有进行认证”(英文翻译版)或者直接断开连接。

修复方案:

看下会忽略不

版权声明:转载请注明来源 一天到晚吃@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2015-01-26 15:32

厂商回复:

谢您对抠抠电子商务的支持,我们会及时修复漏洞。并欢迎各位白帽子多多发现!我们争取做乌云最优秀的厂商

最新状态:

暂无