漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-085698
漏洞标题：浙江大学某系统存在弱口令可泄露全校学生数据
相关厂商：浙江大学
漏洞作者： 路人甲
提交时间：2014-12-03 18:32
修复时间：2014-12-08 18:34
公开时间：2014-12-08 18:34
漏洞类型：服务弱口令
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(CCERT教育网应急响应组)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-03： 细节已通知厂商并且等待厂商处理中
2014-12-08： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
浙江大学某系统存在某些高权限账户为弱口令，可获取到全校学生数据。此漏洞被非法利用后可泄露全校学生私密信息，后果严重。
详细说明：
浙江大学教务管理系统，jwbinfosys.zju.edu.cn，为本科生提供选课、成绩查询等课程服务，里面存有大量学生成绩、课表、联系方式等用户关键信息。
此系统有若干教师账号，账号与密码相同，并有查看全校学生以上数据的权限。此漏洞被非法利用后可泄露全校学生私密信息，后果严重。
漏洞证明：
教师账号经试验为7为数字，对其进行穷举攻击，得到若干账号与密码相同的账号。
使用0000232教师账号登录
打开此urlhttp://jwbinfosys.zju.edu.cn/lw_xsxx.aspx?xh=学号&xm=ck&zgh=教师账号，可得到任意学生的成绩与个人私密信息。
修复方案：
降低教师账户权限
禁止弱口令账户登录
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-12-08 18:34
厂商回复：
最新状态：
暂无