漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-024171
漏洞标题：ChinaCache核心业务系统弱口令
相关厂商：ChinaCache
漏洞作者： CC米业
提交时间：2013-05-20 21:24
修复时间：2013-07-04 21:25
公开时间：2013-07-04 21:25
漏洞类型：服务弱口令
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-20： 细节已通知厂商并且等待厂商处理中
2013-05-22： 厂商已经确认，细节仅向厂商公开
2013-06-01： 细节向核心白帽子及相关领域专家公开
2013-06-11： 细节向普通白帽子公开
2013-06-21： 细节向实习白帽子公开
2013-07-04： 细节向公众公开
简要描述：
ChinaCache核心业务系统弱口令
详细说明：
ChinaCache SSR系统（http://sispub.ssr.chinacache.com）存在弱口令 test:test
应该是核心业务系统，权限很大。
漏洞证明：
见图
修复方案：
删除test用户，在开发流程上要注意弱口令的问题。另外重要核心业务系统的后台最好不要对外。
版权声明：转载请注明来源 CC米业@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2013-05-22 10:43
厂商回复：
1、此业务系统为办废弃的辅助业务支撑系统，仅提供信息查看功能，不属于核心业务系统，不会对蓝汛核心业务造成任何影响；
2、此系统确实存在弱密码的安全隐患；
3、弱密码的登录权限确实会有信息泄露的危害；
感谢 @CC米业 提报的这个安全漏洞，我们会借此机会停用这个系统，杜绝由于不必要存在的系统而导致的安全隐患。
根据 Wooyun 的危害等级评估标准“无法直接影响业务数据但是可能会间接导致更深层次的安全问题的（如一般的信息泄漏等）”，给予“低”的评级，但给予低级别漏洞的最高评分 5 分。
请各位白帽子安全专家知晓
最新状态：
暂无
漏洞评价：
评论
-
厂商看起来很靠谱的样子啊
-
被评为：最负责任的厂商 :)
-
@专业种田 另外你看，我大乌云对于厂商的规则也是很靠谱的
-
@xsser 乌云也靠谱，对我们种田的也要靠谱，乌云扣分弄个记录查询，更清楚什么原因扣的。
( 普通白帽子 | Rank:254 漏洞数:17 | 当我又回首一切,这个世界会好吗?)