当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-024592

漏洞标题:多个国家单位系统Struts2命令执行漏洞

相关厂商:国家中小企业专项资金项目管理系统、食品安全电子监管系统(湖北移动)、江西省道路运输卫星定位服务系统、山东省组织机构代码业务网上办理系统

漏洞作者: cuger

提交时间:2013-05-29 18:38

修复时间:2013-07-13 18:38

公开时间:2013-07-13 18:38

漏洞类型:命令执行

危害等级:中

自评Rank:8

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-05-29: 细节已通知厂商并且等待厂商处理中
2013-06-02: 厂商已经确认,细节仅向厂商公开
2013-06-12: 细节向核心白帽子及相关领域专家公开
2013-06-22: 细节向普通白帽子公开
2013-07-02: 细节向实习白帽子公开
2013-07-13: 细节向公众公开

简要描述:

多个单位的系统存在Struts2命令执行漏洞,有的有root权限

详细说明:

1、食品安全电子监管系统(湖北移动)

1.jpg

2.jpg


root权限

3.jpg


2、国家中小企业专项资金项目管理系统

4.jpg

4.jpg

此外,国家中小企业公共服务示范平台管理系统也在该服务器上,虽然不是root权限,但是有一个oracle在互联网开放了1521端口

5.jpg


3、江西省道路运输卫星定位服务系统

6.jpg

root权限

7.jpg


8.jpg


4、山东省组织机构代码业务网上办理系统

9.jpg

10.jpg


没有脱裤什么的操作,请勿查水表、送快递。

漏洞证明:

1、食品安全电子监管系统(湖北移动)

1.jpg

2.jpg


root权限

3.jpg


2、国家中小企业专项资金项目管理系统

4.jpg

4.jpg

此外,国家中小企业公共服务示范平台管理系统也在该服务器上,虽然不是root权限,但是有一个oracle在互联网开放了1521端口

5.jpg


3、江西省道路运输卫星定位服务系统

6.jpg

root权限

7.jpg


8.jpg


4、山东省组织机构代码业务网上办理系统

9.jpg

10.jpg

修复方案:

不能升级的话买台waf什么的也可以

版权声明:转载请注明来源 cuger@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:12

确认时间:2013-06-02 23:08

厂商回复:

CNVD确认并复现所述情况,对于1\3案例,已经分别协调中国移动集团公司、江西分中心,由上述单位联系网站管理单位处置。
对于4,这个山东分中心此前已经尽到通报义务,看来网站管理方实在缺乏安全意识。对于2,将在周一继续协调网站管理单位处置。
按通用软件漏洞进行评分,rank 12

最新状态:

暂无


漏洞评价:

评论

  1. 2013-05-31 11:53 | cncert国家互联网应急中心(乌云厂商)

    有部分单位已经是屡次不改,汗。

  2. 2013-06-02 01:07 | hack雪花 ( 实习白帽子 | Rank:67 漏洞数:18 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    那个单位系统,有关键字不

  3. 2013-06-03 00:34 | 雅柏菲卡 ( 普通白帽子 | Rank:1213 漏洞数:232 | 雙魚座聖鬥士雅柏菲卡)

    @cncert国家互联网应急中心 赏一丈红

  4. 2013-06-03 00:54 | 雅柏菲卡 ( 普通白帽子 | Rank:1213 漏洞数:232 | 雙魚座聖鬥士雅柏菲卡)

    @cncert国家互联网应急中心 看看哪些单位敢屡次不改