漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-028719
漏洞标题：tomcat弱口令可使CFCA众多证书泄露
相关厂商：中国金融认证中心
漏洞作者： Major
提交时间：2013-07-12 23:15
修复时间：2013-08-26 23:16
公开时间：2013-08-26 23:16
漏洞类型：后台弱口令
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-12： 细节已通知厂商并且等待厂商处理中
2013-07-16： 厂商已经确认，细节仅向厂商公开
2013-07-26： 细节向核心白帽子及相关领域专家公开
2013-08-05： 细节向普通白帽子公开
2013-08-15： 细节向实习白帽子公开
2013-08-26： 细节向公众公开
简要描述：
一个tomcat弱口令，可拿webshell，进去之后，我和小伙伴们都惊呆了，不敢再往下测试了···CFCA证书数据库账号密码泄露·····严重可导致众多金融证书、秘钥泄露·····
求20Rank
详细说明：
tomcat弱口令
https://210.74.41.142/manager/html/
该站点证书显示的是keypos.com.cn公司的····
进去之后发现有CFCA目录···里面有数据库配置信息·······好可怕哦····
俺贫苦人家出身没见过这阵势·····不敢再继续测试了····
漏洞证明：
修复方案：
赶紧补吧·········
版权声明：转载请注明来源 Major@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2013-07-16 23:04
厂商回复：
CNVD确认并复现所述情况，同时确认网站管理方非CFCA，而是其某代理商。已经将相关情况转由CNCERT通报给银监会信息中心，提醒认证证书密钥泄露的危害性，看其后续是否进一步处置。
rank 10
最新状态：
暂无