华润元大基金某系统命令执行漏洞/涉及大量信息/包括银行系统账号/微信/腾讯微博账号/部分客户信息/可内网

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0200284

漏洞标题：华润元大基金某系统命令执行漏洞/涉及大量信息/包括银行系统账号/微信/腾讯微博账号/部分客户信息/可内网

漏洞作者： z_zz_zzz

提交时间：2016-04-25 08:01

修复时间：2016-06-11 16:30

公开时间：2016-06-11 16:30

漏洞类型：系统/服务补丁不及时

危害等级：高

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2016-04-25：细节已通知厂商并且等待厂商处理中
2016-04-27：厂商已经确认，细节仅向厂商公开
2016-05-07：细节向核心白帽子及相关领域专家公开
2016-05-17：细节向普通白帽子公开
2016-05-27：细节向实习白帽子公开
2016-06-11：细节向公众公开

简要描述：

华润元大基金管理有限公司（以下简称“华润元大基金”）是一家陆台合资公司，由华润深国投信托有限公司和台湾地区元大宝来证券投资信托股份有限公司共同出资设立，占股比例分别为51%和49%。公司于2013年1月17日完成工商注册登记，经营范围包含基金募集、基金销售、特定客户资产管理、资产管理和中国证监会许可的其他业务。
华润元大基金某系统存在命令执行漏洞，泄露了大量信息/包括银行系统账号/微信/腾讯微博账号等，并泄露了部分客户信息，可内网

详细说明：

szkingdom的系统设计得挺好的，公网的应用不连数据库，这下难被评成大漏洞了，只好翻翻文件，没做恶意的事，勿怪。要怪就怪补丁打得不及时，该打运维的PP，不要查我的水表=.=
https://etrade.cryuantafund.com/
华润元大基金网上交易系统存在JAVA weblogic反序列化漏洞