漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-040839
漏洞标题：某自治县政府网站存在Struts2命令执行漏洞且所用CMS可能导致安全隐患
相关厂商：某自治县政府网站
漏洞作者： Tang
提交时间：2013-10-24 16:35
修复时间：2013-10-29 16:35
公开时间：2013-10-29 16:35
漏洞类型：命令执行
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-24： 细节已通知厂商并且等待厂商处理中
2013-10-29： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
某自治县政府网站存在Struts2命令执行漏洞，可执行任意命令，可GetShell。
附带检测“哈尔滨美龙达科技发展有限公司”所开发的CMS的报告。
详细说明：
漏洞地址：
另，查询数据库发现该CMS大量密码为123456的默认帐户（疑似）。
暂时未在数据库中发现登陆日志等表，若未记录日志安全性将不足以支持政府机构使用。
本着不改动任何原有文件的原则，未进一步进行测试了，估计该CMS还有很多漏洞。
应该还未有人进来过，测试完毕后所有测试用文件均已删除。
漏洞证明：
修复方案：
补丁，删除所有弱口令帐户，联系厂商做好安全加固。
版权声明：转载请注明来源 Tang@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-10-29 16:35
厂商回复：
最新状态：
2013-10-29：CNVD确认并复现所述情况，未能及时确认，该事件已经下发给CNCERT湖南分中心。请剑心协助补rank 吧。按struts 惯例，rank 6，考虑到通用软件的可能性，rank 10