漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-023876
漏洞标题：用友ICC远程命令执行漏洞
相关厂商：用友软件
漏洞作者： applychen
提交时间：2013-05-16 14:23
修复时间：2013-08-14 14:23
公开时间：2013-08-14 14:23
漏洞类型：命令执行
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-16： 细节已通知厂商并且等待厂商处理中
2013-05-17： 厂商已经确认，细节仅向厂商公开
2013-05-20： 细节向第三方安全合作伙伴开放
2013-07-11： 细节向核心白帽子及相关领域专家公开
2013-07-21： 细节向普通白帽子公开
2013-07-31： 细节向实习白帽子公开
2013-08-14： 细节向公众公开
简要描述：
漏洞简单就不描述了。
详细说明：
其实是JSP版的ICC采用了struts2架构导致远程命令执行漏洞，影响略大。
列三个受影响的站点：
联通客服 http://help.10010.com/web/icc/chat/chat?c=1&s=1
国美在线 http://onlinechat.gome.com.cn/web/common/doUpload.action
中国人保财险在线客服 http://im.e-picc.com.cn/web/icc/chat/chat?c=1&s=3
漏洞证明：
直接上图：
修复方案：
升级struts2
版权声明：转载请注明来源 applychen@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2013-05-17 14:51
厂商回复：
已确认此问题存在，目前已在所有受影响的的标准版本中修复了此问题，我们会尽快安排为所有受此问题影响的客户升级系统，非常感谢 applychen@乌云 对ICC产品的关注和产品安全性提升的巨大帮助。
最新状态：
暂无
( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)