漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-038875
漏洞标题：trs某商业系统多个安全漏洞
相关厂商：北京拓尔思信息技术股份有限公司
漏洞作者： 想要减肥的胖纸
提交时间：2013-10-04 16:35
修复时间：2014-01-02 16:36
公开时间：2014-01-02 16:36
漏洞类型：敏感信息泄露
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-04： 细节已通知厂商并且等待厂商处理中
2013-10-08： 厂商已经确认，细节仅向厂商公开
2013-10-11： 细节向第三方安全合作伙伴开放
2013-12-02： 细节向核心白帽子及相关领域专家公开
2013-12-12： 细节向普通白帽子公开
2013-12-22： 细节向实习白帽子公开
2014-01-02： 细节向公众公开
简要描述：
trs某商业系统多个漏洞集合 包括信息泄露 xss 未授权访问等
详细说明：
trs was40产品存在多个安全漏洞
1.未授权访问
直接访问was40/tree可以看到一些后台功能
2.信息泄露
访问was40/passwd/passwd.htm
输入一个不存在的用户名会暴露出服务器内网IP地址 同时存在暴力破解用户密码的可能性。
3.未授权发布信息+xss
编辑信息的时候未对提交的数据进行过滤，同时存在未对用户是否登录进行验证
4. 部分用户系统存在system/manager
若政府站点存在第三条风险，会带来很大的社会影响，比如发布反动信息、政府负面信息。
若邮件系统等未对cookie的域做限制，该xss漏洞会带来更大的影响。
漏洞证明：
列出部分收影响的网站仅作验证漏洞
1.国家电力信息网
http://www.sp.com.cn/was40/tree
xss
经过测试 共青团中央网站也存在以上全部问题
中兴公司 存在system/manager弱口令 更改密码的时候用户名system 原始密码manager 新密码manager 更改成功
http://www.zte.com.cn/was40/passwd/passwd.htm
失败的话 暴露内网IP地址
未列出的网站可能也存在上述问题的一个或多个。
该问题覆盖了政府、金融、通信、电力行业。
例如中国电信、中国印钞造币总公司、交通部等。
http://www.google.com.hk/#newwindow=1&q=inurl:was40+site%3A.cn&safe=strict
http://www.baidu.com/s?wd=inurl%3Awas40%20site%3A.cn&pn=80&ie=utf-8
修复方案：
对was40部分文件添加权限检查 对用户提交数据进行过滤
根据业务需要 删除系统自带的demo页面和数据
版权声明：转载请注明来源 想要减肥的胖纸@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2013-10-08 11:27
厂商回复：
感谢对TRS产品的关注，已确认存在部分漏洞，正在组织修复处理。
最新状态：
2013-10-12：已发布安全更新补丁，会及时对用户进行升级，感谢反馈！*** 安全无止境，我们一直在努力！***