当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-018424

漏洞标题:一堆使用jeecms的政府网站,存在struts2命令执行漏洞

相关厂商:*.gov.cn

漏洞作者: 坏虾

提交时间:2013-02-05 18:36

修复时间:2013-03-22 18:37

公开时间:2013-03-22 18:37

漏洞类型:命令执行

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-02-05: 细节已通知厂商并且等待厂商处理中
2013-02-08: 厂商已经确认,细节仅向厂商公开
2013-02-18: 细节向核心白帽子及相关领域专家公开
2013-02-28: 细节向普通白帽子公开
2013-03-10: 细节向实习白帽子公开
2013-03-22: 细节向公众公开

简要描述:

一堆~ 一堆~ 一堆~~~

详细说明:

漏洞出好久了,没人修,我自己辛苦点吧,帮忙找出来,赶紧修复吧。

漏洞证明:

1、广西财政会计网
http://www.gxczkj.gov.cn/jeecms/ArtiSearch.do kjks_app\administrator
2、河南省财政厅会计处
http://www.hncz.gov.cn:8002/henancms/jeecms/ArtiSearch.do root
3、陕西省质量技术监督局
http://www.snqi.gov.cn/shcms/ArtiSearch.htm nt authority\system
4、青岛市政府采购网
http://zfcg.qingdao.gov.cn/gpcsoft/GpcsoftSearch.do server\administrator
5、淄博市商务局
http://www.zbboftec.gov.cn:7080/jmj/jeecms/ArtiSearch.do root
6、杭州·西湖区门户网站
http://app.xihu.gov.cn/login/Rjcms.do x-b5c7da30f53c4\administrator
7、余杭区政府采购网
http://zfcg.yuhang.gov.cn/new/search/trsSearch.do root

修复方案:

升级jeecms版本,或者升级struts2框架

版权声明:转载请注明来源 坏虾@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2013-02-08 23:15

厂商回复:

CNVD确认并复现所述情况,根据搜集的特征又测试了一些新的列表,年前事件较多,原定6日处置,因后续测试及考虑到年前协调,可能存在一定时延,待年后作为重要事件及时处置。
rank 12(通用软件衍生漏洞)

最新状态:

2013-02-17:根据最新测试情况,应该是不止jeecms,一些其他厂商的CMS软件也封装了存在漏洞的组件。


漏洞评价:

评论

  1. 2013-02-05 22:43 | cncert国家互联网应急中心(乌云厂商)

    不错,看来对jeecms作了特征研究,明天上班后尽快处置,同时对于jeecms存在此漏洞的事件CNVD已经较早前就联系了厂商,但现在有很多国内厂商存在无法获知客户信息的情况,在应急响应方面未做到完善。

  2. 2013-02-06 01:11 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    某个jeecms处理得比较好。。删了超多文件和功能,改了文件夹位置。。

  3. 2013-02-18 12:49 | 坏虾 ( 路人 | Rank:28 漏洞数:8 | From Internet,For Internet……BY:坏虾)

    @cncert国家互联网应急中心 是的,但是没有JEECMS使用的广泛。