当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-06259

漏洞标题:某制药企业网络暴漏,可导致渗透内网,机密泄露

相关厂商:西安力邦

漏洞作者: Valo洛洛

提交时间:2012-04-22 11:20

修复时间:2012-06-06 11:21

公开时间:2012-06-06 11:21

漏洞类型:重要敏感信息泄露

危害等级:中

自评Rank:10

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-04-22: 积极联系厂商并且等待厂商认领中,细节不对外公开
2012-06-06: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

某制药企业网络暴漏,可导致渗透内网,机密泄露。

详细说明:

陕西省力邦企业的制药网站存在注入
http://www.libang.com.cn/qyywx.php?news_id=50%20and%201=2%20union%20select%201,2,user(),database(),5,6,7,8,9,version(),11,12
可获得企业制药网站主页员工之家的某个账号,可是这个员工的员工之家账号与他的内部邮箱账号密码一样,导致进入其内部邮箱。

刚好这个人可能是企业网络管理员,由于这个管理员的好习惯,把整个企业的内网结构及配置保存到了邮箱中,造成了信息泄露。


被某些有心人利用,可造成企业内部机密药方泄露,造成不必要的损失。
主页上的对外网开放的平台,也可遭到攻击利用。

漏洞证明:

这个邮件中的内容还是比较全面的

无法上传该信息表为附件。如果需要,请站短我索要。

修复方案:

加强员工安全意识,重要的工作平台与外网隔断。

版权声明:转载请注明来源 Valo洛洛@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:13 (WooYun评价)


漏洞评价:

评论

  1. 2012-04-22 15:35 | Valo洛洛 ( 普通白帽子 | Rank:458 漏洞数:52 | 。)

    @xsser 亲,这个跟楼下高铁那个不属于cncert处理范畴么