漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0105857
漏洞标题：中国疾控中心GAVI项目系统大量管理弱口令（百万儿童详细信息）
相关厂商：国家互联网安全中心
漏洞作者： 刘洪泽
提交时间：2015-04-07 17:25
修复时间：2015-05-25 18:30
公开时间：2015-05-25 18:30
漏洞类型：后台弱口令
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-04-07： 细节已通知厂商并且等待厂商处理中
2015-04-10： 厂商已经确认，细节仅向厂商公开
2015-04-20： 细节向核心白帽子及相关领域专家公开
2015-04-30： 细节向普通白帽子公开
2015-05-10： 细节向实习白帽子公开
2015-05-25： 细节向公众公开
简要描述：
儿童18位编码，儿童姓名，身份证号，出生日期 出生时间,出生证号，出生体重（公斤）性别，民族，胎次，籍贯国标县居住通讯地址，户口属性 家庭电话，短信定制，建档单位建档县国标6位，建档日期监护人，母亲姓名身份证号电话单位乙肝，父亲姓名身份证号电话单位禁忌过敏传染不良反应史，接种证条形码健康社保编号，接种地单位，接种部位。
详细说明：
http://demo.gavi.chinacdc.cn/登录系统
以某省管理权限测试！
http://www.stats.gov.cn/tjsj/tjbz/xzqhdm/201401/t20140116_501070.html行政代码
15代表省级内蒙古依此类推。
内蒙古登录用户名1500000000admin 密码admin
浏览器问题，数据都在这里，向右翻就看到了。所有
我们可以看到一个系统是的数量，那么那么多省县乡加起来，还是很可观的。定向发送一些信息！很大危害！
恩
下载内部文件
侧漏一个系统AEFI信息管理系统（http://219.141.175.204）
信息
这里还能发布，不知能不能shell
业务管理员什么的就不试了
再来1个例子
广东省
其他的都能，去看吧
漏洞证明：
内蒙古自治区
广东省
那么多省
修复方案：
#修改密码！！！！！！
版权声明：转载请注明来源 刘洪泽@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2015-04-10 18:29
厂商回复：
CNVD确认并复现所述情况，已经由CNVD通过网站公开联系方式向网站管理单位通报。
最新状态：
暂无