当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-072214

漏洞标题：UCSTAR即时通讯工具未授权访问导致企业内部聊天信息泄露及GETSHELL内网漫游（三）

相关厂商：CNCERT

漏洞作者： loli

提交时间：2014-08-13 12:31

修复时间：2014-11-11 12:32

公开时间：2014-11-11 12:32

漏洞类型：非授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-08-13： 细节已通知厂商并且等待厂商处理中
2014-08-18： 厂商已经确认，细节仅向厂商公开
2014-08-21： 细节向第三方安全合作伙伴开放
2014-10-12： 细节向核心白帽子及相关领域专家公开
2014-10-22： 细节向普通白帽子公开
2014-11-01： 细节向实习白帽子公开
2014-11-11： 细节向公众公开

简要描述：

前面两集没有getshell总好像缺点什么。。。于是。。。

详细说明：

UcSTAR统一通信是擎旗技术推出的企业级融合通信平台；提供多种通讯手段（IM企业即时通信、文件、VcSTAR视频、语音、EMAIL、SMS短信中心、电话、VOIP、MSN/QQ互通、UCALL多媒体呼叫中心），融合企业的多种应用系统紧密集成（OA、CMS>、ERP、EIP、Portal、网站、应用软件），交流对象和交流内容可管理，可控制，可扩展，轻松实现部署企业的统一工作平台。
1.通过 WooYun: 某客服服务系统任意文件下载漏洞涉及多家银行、证券、基金、政府（二） 读取到web.xml配置文件发现多处文件可进行未授权访问，文件名如下；

<init-param>
			<param-name>excludes</param-name> 
			<param-value>myLeavemessage.action,seatknowledgeList.action,newWorksheetmanager.action,getQueueUser.action,seatnotebooklist.action,qualityGradeList.action,seatBlackerList.action,getchatsessionlist.action,seatContractMessageList.action,getUserList.action,tradesys-chatsessionstat.jsp,customerInfo.jsp,consultantInfo.jsp,webcall/knoLibIframe.jsp,webcall/ucstarVisitorStatueData.jsp,blackerSave.action,newBlackerSave.action,webcall_chat/addblacker.jsp,webcall/messageRoleMenuView2.jsp,seatListSelect.jsp,webcall/worksheetAdd.jsp,webcall/messageNoteAdd.jsp,webcall/messageNoteAdd.jsp,login_bysso.jsp,queryusername.action,userregisterforclient.jsp,clientGroupmessagerList.action,panel/,randImages.jsp,softphone/,result,ssoOaUserConfig,ssoOaUserList,mypanel-showurl.jsp,test.jsp,test1.jsp,sso-,plugins/gateway/gateway-rtx-autocreate.jsp,login.jsp,index.jsp?logout=true,setup/index.jsp,setup/setup-,.gif,.png,error-serverdown.jsp,client_showaffiche.action,client_affiche.action,client_affiche_list.action,client_affiche_scroll.action,client_affiche_grade.action,saveAfficheofcleint.action,issuedaffichesuccess.jsp,client_subscriber.action,client-subscribersave.action,subscriber_success.jsp,client-subscribersave.action,client-subscriberupdatesave.action,client_subscriberupdate.action,client_subscriberdelete.action,client-subscriberadd.action,client_mail.jsp,client_systemaffiche_scroll.action,clientaffichesystemscroll.jsp,client-systemaffiche-list.action,client_issueaffiche.action,client-deleteAffiche.action,client-editAffiche.action,client-updateAffiche.action,plugins/gateway/gateway-client-registrations.jsp,exportmessagetofile.jsp,plugins/gateway/gateway-checker.jsp,plugins/gateway/gateway-client-registrationsadd.jsp,plugins/gateway/gateway-client-editregistrations.jsp,clientregister.action,register_sucess.jsp,ipphoneList.action,bbsdiscuss/dhtreeForums.jsp,js_list_nodes.jsp,grouptreehome-inner.jsp,bindgroup-index-inner.jsp,gjpanel-showurl.jsp,clientBindGroupAffEdit.jsp,clientBindGroupAffDelete.jsp,clientAfficheShow.jsp,plugins/sms/sms-limit-user-ajaxset.jsp,share_own.jsp,mypanel-redirect.jsp,panelextends-registertairan.jsp,plugins/sms/sms-user-config.jsp,zk/show_personalsch.zul,zk/show_commonsch.zul,zk/show_notice.zul,zk/sch_personal.zul,zk/sch_common.zul,zk/sch_notice.zul,user-email-edit.jsp,outlinker-export.jsp,outlinker-loadexport.jsp,outlinerload.action,outlinerload_star.action,user-register.jsp,user-register.action,zkau1,worksheetmanager.action,webcall_chat/knowledgeSearchTreeData.jsp,webcall_chat/knowledgeSearchData.jsp,webcall_chat/knowledgeSearchData.jsp,webcall_chat/knowledge-search.jsp,webcall_chat/newContractMessageList.action,webcall_chat/notebooklist.action,webcall_chat/newknowledgeList.action,webcall_chat/newBlackerList.action,webcall_chat/leaveMessage.jsp,webcall_chat/knowledge-search.jsp,webcall_chat/newVisitorManagerSeat.jsp,getQueueUser.action,/WEB-INF/ucstar/user/bindgroupuser.html,schedulemsgdelete.action,hint/hint_client_show.jsp,system-message-schedule-client.jsp,share_own.jsp,schedulemsglist.action,hint_client_show.jsp,hint/hint_client_show.jsp,offlineBroadcastList.jsp,chatsessionmsgMiniList.action,chatsession_messageview_minilist.jsp,service_tousu.jsp,xinda_clientchatwinmarquee.jsp,web-client-updatepwd.jsp,userinfo.jsp,userinfo-basic.jsp,userinfo-contact.jsp,userinfo-detail.jsp,ucstarVisitorStatueMain.jsp,emp-detail-info-customershow.jsp,xinda_mymanager.jsp,changepassword.jsp,xinda_onlinebusinesshall.jsp,xinda_clientsso.jsp,xinda_call.jsp,xinda_crmsys.jsp,xinda_ssologin.jsp,emp-detail-info.jsp,clientaffiche_manager.jsp,blank.jsp,clientaffichesystemscroll2.jsp,client_systemaffiche_scroll.action,tradesys-share.jsp,tradesys-fund.jsp,userclient-card.jsp,analysis_huaxi.action,logincms.jsp,schedulemsglistclient.action,shedulemsg_list_client.jsp,updateuser.action,selectgroupbysession.jsp,ace-select-radio-groups.jsp,selectuserbysession.jsp,system-message-schedule-client.jsp,user-basic-info.jsp,user-contace-info.jsp,user-detail-info.jsp,user-basic-info-emp.jsp,user-contact-info-emp.jsp,user-detail-info-emp.jsp,toedituserbasepage.action,toeditusercontactpage.action,toedituserdetailpage.action,toedituserbasepageemp.action,toeditusercontactpageemp.action,toedituserdetailpageemp.action,tradesys-latencycustomer-list.jsp,tradesys-latencycustomer-create.jsp,latencycustomeredit.action,latencycustomerdelete.action,latencycustomersaveorupdate.action,service_vote.jsp,webcall_chat/contractMessageSave.action,webcall_chat/sendSuccess.jsp,webcall_chat/sendError.jsp,webcall/messageRoleMenuViewBigtree.jsp,mainSeat.action,ucstarMessage-list-new.jsp,ucstarMessageReceiptMain.jsp,vcstar_sg/,refuseReasonSelect.action,webcall/authIdentity.jsp,webcall/surveyView.jsp,answerCollect.action,webcall_chat/leaveSystemMessage.jsp,knowledgefaqsearch.action,knowledgefaqcontent.action,webcall_chat/knowledgeFAQsearch.jsp,webcall_chat/knowledgeFAQContent.jsp,webcall_chat/knowledgeFAQ.jsp,webcall_chat/knowledgefaqmanager.jsp,webcall/modifyPassword.jsp,webcall_chat/paomadeng.jsp,loginManager.jsp</param-value>
			</init-param>


2.通过测试部分文件，可进行查看ucstar所有用户名及企业内部人员所有聊天信息，其中包括一些企业敏感信息等。

http://x.x.x.x/seatListSelect.jsp                  查看ucstar所有用户
http://x.x.x.x/ucstarMessage-list-new.jsp  查看UCstar所有用户聊天记录
http://x.x.x.x/webcall/messageNoteAdd.jsp


xx.png


3.万恶的fckeditor

http://x.x.x.x/client-editAffiche.action   
http://x.x.x.x/FCKeditor/editor/filemanager/browser/default/browser.html?Connector=connectors/jsp/connector   任意后缀上传，jsp马访问时会进行跳转首页，但可以解析jspx后缀的木马。


xxx2.png


xxx.png

漏洞证明：


http://im.dhzq.com.cn:9090/ucstarMessage-list-new.jsp
http://119.147.80.161:8002/ucstarMessage-list-new.jsp
http://oa.hdbp.com:9090/ucstarMessage-list-new.jsp
http://www.qqtech.com:9090/ucstarMessage-list-new.jsp


更多案例：
http://www.qqtech.com/casefinance/index.htm

修复方案：

漏洞太多，先把这个UcSTAR 管理控制台不对外网开放吧。

版权声明：转载请注明来源 loli@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：18

确认时间：2014-08-18 09:06

厂商回复：

CNVD确认并复现所述情况，已经由CNVD直接向软件生产厂商擎旗公司通报，对方反馈已经着手处置。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-08-13 13:14 | Coody 认证白帽子 ( 核心白帽子 | Rank:1565 漏洞数:189 | 不接单、不黑产；如遇接单收徒、绝非本人所...)

    这个狠了

  2. 2014-08-13 20:39 | pandas ( 普通白帽子 | Rank:585 漏洞数:58 | 国家一级保护动物)

    唉，还是放出来了阿

  3. 2014-08-13 21:27 | loli 认证白帽子 ( 普通白帽子 | Rank:550 漏洞数:52 )

    @pandas 。。。。。

  4. 2014-09-17 22:35 | pandas ( 普通白帽子 | Rank:585 漏洞数:58 | 国家一级保护动物)

    原来提的是fck，虚惊一场

  5. 2014-10-16 15:14 | 杨絮 ( 路人 | Rank:4 漏洞数:1 | 保密)

    @pandas loli是谁???我似乎猜到了

  6. 2014-11-26 15:04 | Stardustsky ( 路人 | Rank:4 漏洞数:3 | ……)

    为何要放出来？你这个坏淫……