当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-080284

漏洞标题：韵达快递某系统存在远程命令执行漏洞

相关厂商：韵达快递

漏洞作者： 猪猪侠

提交时间：2014-10-21 20:17

修复时间：2014-10-26 20:18

公开时间：2014-10-26 20:18

漏洞类型：命令执行

危害等级：高

自评Rank：10

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-10-21： 细节已通知厂商并且等待厂商处理中
2014-10-26： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

神器发现韵达快递某系统存在远程命令执行漏洞

详细说明：

http://video.yundasys.com:8080/login.action

Whoami: root
WebPath: /opt/avcond/jboss/webapps/ROOT
OS.Name: Linux
OS.Version: 2.6.18-128.el5
Java.Home: /opt/avcond/java
Java.Version: 1.6.0_26
OS.arch: i386
User.Name: root
User.Home: /root
User.Dir: /
Java.Class.Path: :/opt/avcond/jboss/bin/bootstrap.jar
Java.IO.Tmpdir: /opt/avcond/jboss/temp

漏洞证明：

eth0      Link encap:Ethernet  HWaddr 00:15:17:E6:01:70  
          inet addr:192.168.1.80  Bcast:192.168.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:9911503 errors:8 dropped:0 overruns:0 frame:4
          TX packets:740000 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:1144173278 (1.0 GiB)  TX bytes:316590229 (301.9 MiB)
          Base address:0x1000 Memory:81920000-81940000 
lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:11692653 errors:0 dropped:0 overruns:0 frame:0
          TX packets:11692653 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:738642004 (704.4 MiB)  TX bytes:738642004 (704.4 MiB)

修复方案：

打补丁

版权声明：转载请注明来源 猪猪侠@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-10-26 20:18

厂商回复：

漏洞Rank：12 (WooYun评价)

最新状态：

暂无

漏洞评价：

评论

  1. 2014-10-21 20:18 | 小乖 ( 路人 | Rank:21 漏洞数:6 | 这个家伙很懒，什么也没留下。)

    你关注的白帽子 猪猪侠 发表了漏洞 韵达快递某系统存在远程命令执行漏洞 2014-10-21

  2. 2014-10-21 20:19 | 0x_Jin ( 普通白帽子 | Rank:319 漏洞数:37 | 微博：http://weibo.com/J1n9999)

    看来这神器很屌啊

  3. 2014-10-21 20:29 | 1c3z ( 实习白帽子 | Rank:88 漏洞数:29 | 我读书少，你可别骗我！！！)

    第一次离洞注这么近！！！

  4. 2014-10-21 20:33 | 袋鼠妈妈 ( 普通白帽子 | Rank:449 漏洞数:61 | 故乡的原风景.MP3)

    扭摆~~

  5. 2014-10-21 20:44 | Jeremy ( 普通白帽子 | Rank:106 漏洞数:11 | )

    神器....................

  6. 2014-10-21 20:48 | answer ( 普通白帽子 | Rank:347 漏洞数:45 | 答案)

    一波命令执行 霍霍

  7. 2014-10-21 21:37 | Let a person cry. ( 路人 | Rank:23 漏洞数:9 | xxoo)

    你关注的白帽子 猪猪侠 发表了漏洞 韵达快递某系统存在远程命令执行漏洞 2014-10-21

  8. 2014-10-21 22:35 | ki11y0u ( 普通白帽子 | Rank:104 漏洞数:23 | 好好学习，求带飞~~~~~~~~~~~~~~~~~~~~~~...)

    看来这神器很屌啊

  9. 2014-10-22 08:22 | an0nym0u5 ( 普通白帽子 | Rank:172 漏洞数:31 )

    膜拜~

  10. 2014-10-22 08:38 | 茜茜公主 ( 普通白帽子 | Rank:2360 漏洞数:406 | 家里二宝出生，这几个月忙着把屎把尿...忒...)

    什么神器，我也想要

  11. 2014-10-22 08:40 | Woodee ( 路人 | 还没有发布任何漏洞 | 乌云路人甲，打脸pa pa pa)

    @茜茜公主 那你一定是错过了今年9月12号在首都举办的第一届乌云安全峰会。

  12. 2014-10-22 08:41 | 茜茜公主 ( 普通白帽子 | Rank:2360 漏洞数:406 | 家里二宝出生，这几个月忙着把屎把尿...忒...)

    @Woodee 纳尼，只载了ppt，待我再好好瞧瞧

  13. 2014-10-22 08:44 | 茜茜公主 ( 普通白帽子 | Rank:2360 漏洞数:406 | 家里二宝出生，这几个月忙着把屎把尿...忒...)

    猪猪侠开始分享他正在开发的一款全自动扫描工具的架构与功能设计

  14. 2014-10-22 08:50 | Woodee ( 路人 | 还没有发布任何漏洞 | 乌云路人甲，打脸pa pa pa)

    @茜茜公主 soga

  15. 2014-10-22 09:02 | c0nt ( 路人 | Rank:1 漏洞数:7 )

    mark......

  16. 2014-10-22 09:49 | 紫霞仙子 ( 普通白帽子 | Rank:2027 漏洞数:279 | 天天向上 ！！！)

    怎么还没在集市上出售啊！！！

  17. 2014-10-22 18:53 | My5t3ry ( 实习白帽子 | Rank:31 漏洞数:13 )

    峰会说好上集市呢

  18. 2014-10-22 19:49 | 炊烟 ( 普通白帽子 | Rank:238 漏洞数:44 | 每一天都需要努力。)

    求神器！！

  19. 2014-10-26 23:39 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    。。。又是5天自动忽略，目测韵达裤子已经被拖了N次了。

  20. 2014-10-27 08:13 | 贫道来自河北 ( 普通白帽子 | Rank:1395 漏洞数:423 | 一个立志要把乌云集市变成零食店的男人)

    唉 大牛就是不一样啊 忽略了 乌云还会给rank 我们呢 忽略了 连个毛都没有

  21. 2014-10-27 09:15 | D_in ( 普通白帽子 | Rank:413 漏洞数:62 | 到我嘴里来)

    这神器太屌了

  22. 2014-10-27 10:04 | 炊烟 ( 普通白帽子 | Rank:238 漏洞数:44 | 每一天都需要努力。)

    求神器！

  23. 2014-10-27 11:19 | 第四维度 ( 实习白帽子 | Rank:58 漏洞数:34 | 谦谦君子，温润如玉)

    修复了还忽略。呵呵

  24. 2014-12-02 17:11 | Anonymous ( 普通白帽子 | Rank:146 漏洞数:30 | 园长是大傻逼)

    混个脸熟 可以加QQ 5737796吗