漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-020933
漏洞标题：国家电网某投标系统弱口令+权限绕过=>高危（5）
相关厂商：国家电网公司
漏洞作者： 马燕羊蝎子
提交时间：2013-03-29 23:11
修复时间：2013-05-13 23:11
公开时间：2013-05-13 23:11
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-03-29： 细节已通知厂商并且等待厂商处理中
2013-03-30： 厂商已经确认，细节仅向厂商公开
2013-04-09： 细节向核心白帽子及相关领域专家公开
2013-04-19： 细节向普通白帽子公开
2013-04-29： 细节向实习白帽子公开
2013-05-13： 细节向公众公开
简要描述：
国家电网某投标系统弱口令+权限绕过导致数千家供应商银行卡等敏感信息泄露..
数千家供应商银行卡号，项目保证金等敏感信息泄露。。
主要是投标的各种信息..
绝对高危。。
拒绝跨省。
详细说明：
供应商信息泄露，2000多家。
供应商初始密码就是供应商账号，首次登陆需要用供应商的税务登记号去修改密码
漏洞证明：
修复方案：
增加身份验证，拒绝弱口令。
还有供应商名单。。。
安全体系够呛。。
拒绝跨省
版权声明：转载请注明来源 马燕羊蝎子@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2013-03-30 08:35
厂商回复：
这个有点意思，但是公司的名称、账号一般都是公开的，这里其实未涉及太多敏感数据，同时如果你了解招投标相关事项的话，当一个标开标时，所有东西都是公开的了，目前公司所有招投标业务已统一到电子商务平台，这个系统仅仅涉及到退保证金的这个环节，不影响招投标的。
最新状态：
暂无
漏洞评价：
评论
-
如同电网交易平台一样 不算十分严重吧
( 实习白帽子 | Rank:1113 漏洞数:141 | M:出售GOV STATE NSA CIA NASA DHS Symant...)