当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-033523

漏洞标题:联想某系统数据泄露(全国店面信息,员工信息及销售情况等)

相关厂商:联想

漏洞作者: 灬相随灬

提交时间:2013-08-05 14:41

修复时间:2013-09-19 14:41

公开时间:2013-09-19 14:41

漏洞类型:基础设施弱口令

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-08-05: 细节已通知厂商并且等待厂商处理中
2013-08-05: 厂商已经确认,细节仅向厂商公开
2013-08-15: 细节向核心白帽子及相关领域专家公开
2013-08-25: 细节向普通白帽子公开
2013-09-04: 细节向实习白帽子公开
2013-09-19: 细节向公众公开

简要描述:

一个弱口令引发的血案....涉及8000多员工联系方式,4000家店铺运营情况,位置,名称等,可能给竞争对手带来策反机会!
PS:联想总部,来个超级本?

详细说明:

01.jpg


02.jpg


03.jpg


04.jpg

漏洞证明:

URL:http://42.121.129.77/system/userlist.action?authId=1609
user:admin pass:admin
补充:其实还有未授权访问的问题
无需登录直接访问:

http://42.121.129.77/admin/staff!input.action?id=345


id可遍历

修复方案:

修复弱口令,后台不要搞的太明显...礼物礼物礼物~~超级本超级本

版权声明:转载请注明来源 灬相随灬@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2013-08-05 16:29

厂商回复:

感谢灬相随灬 对联想安全做出的贡献!我们将立即评估并修复此漏洞!

最新状态:

暂无


漏洞评价:

评论

  1. 2013-08-05 16:22 | 灬相随灬 ( 普通白帽子 | Rank:369 漏洞数:68 | 大胆天下去得,小心寸步难行。)

    再次补充下、、还有最新的漏洞可利用。、、

  2. 2013-08-05 16:33 | ayys ( 路人 | Rank:2 漏洞数:2 | 欢迎交流,熟悉正方教务系统漏洞。专业挖洞...)

    我就在联想。。。楼主威武

  3. 2013-08-05 16:37 | 灬相随灬 ( 普通白帽子 | Rank:369 漏洞数:68 | 大胆天下去得,小心寸步难行。)

    @ayys 我当时标题说是总部的(被改掉了),呵呵,为什么这样说呢?管理员请访问http://localhost:8081/index.htm

  4. 2013-08-05 16:43 | ayys ( 路人 | Rank:2 漏洞数:2 | 欢迎交流,熟悉正方教务系统漏洞。专业挖洞...)

    @灬相随灬 哈哈哈 。。我是上海那边的。。小实习生

  5. 2013-08-05 16:48 | 灬相随灬 ( 普通白帽子 | Rank:369 漏洞数:68 | 大胆天下去得,小心寸步难行。)

    @ayys 哦哦

  6. 2013-08-05 17:02 | ayys ( 路人 | Rank:2 漏洞数:2 | 欢迎交流,熟悉正方教务系统漏洞。专业挖洞...)

    @灬相随灬 能不能分享一下给我看看。。。ayys110@qq.com

  7. 2013-08-05 17:15 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    人类回去了联想怎么办?

  8. 2013-08-13 12:07 | 黑云 ( 路人 | Rank:12 漏洞数:3 | 米有)

    看描述,,很腻害的赶脚。