当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0116460

漏洞标题:江苏省海量数据技术研究所存在structs漏洞可任意命令执行

相关厂商:江苏省海量数据技术研究所

漏洞作者: danieluec

提交时间:2015-05-27 15:23

修复时间:2015-07-16 10:56

公开时间:2015-07-16 10:56

漏洞类型:命令执行

危害等级:高

自评Rank:15

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-05-27: 细节已通知厂商并且等待厂商处理中
2015-06-01: 厂商已经确认,细节仅向厂商公开
2015-06-11: 细节向核心白帽子及相关领域专家公开
2015-06-21: 细节向普通白帽子公开
2015-07-01: 细节向实习白帽子公开
2015-07-16: 细节向公众公开

简要描述:

江苏省海量数据技术研究所存在structs漏洞,可任意命令执行。
公司简介:
江苏省海量数据技术研究所成立于2010年3月。目前员工接近百名,内设11个部门。其中本科以上学历占98%,研究生学历占20%,“985”“211工程”类重点院校毕业占80%,直接从事研发和工程实施的专业技术人员占总人数的85%以上,高级工程师占30%。
研究所专注于数据挖掘领域的研究,通过技术、运营、资源的有效整合,建立了一整套研发、测试、商务、安装、培训、售后、定制化服务等的科学管理体系,使得研究所成立的短短三年内,产品实施遍布全国近30个地市,并赢得了各地用户对所内产品实力和专业服务的肯定,一举成为行业内极具竞争力的企业。目前已有多项拥有自主知识产权的软件产品,获得了中华人民共和国版权局颁发的软件著作权证书、江苏省信息和文化委员会颁发的“软件产品登记证书”“江苏省软件企业认定证书”等多项资质。

详细说明:

网站主页:

http://122.96.62.194:6969/net/home_init.action


QQ截图20150527110125.png


测试一个路径:

http://122.96.62.194:6969/admin/adUser_login.action


漏洞存在且可命令执行,

QQ截图20150527110549.png


QQ截图20150527110220.png


QQ截图20150527110312.png


能写入一句话,但不能解析,就不深入了。

漏洞证明:

QQ截图20150527110549.png


QQ截图20150527110220.png


QQ截图20150527110312.png


以下目录有几个测试用的一句话,很抱歉,请厂商删除:

/usr/java/tomcat/webapps/ROOT/
/usr/java/tomcat/webapps/ROOT/admin/


修复方案:

升级

版权声明:转载请注明来源 danieluec@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:7

确认时间:2015-06-01 10:55

厂商回复:


CNVD确认并复现所述情况,已转由CNCERT下发给江苏分中心,根据其反馈尚未建立与网站管理单位的直接处置渠道,待认领。

最新状态:

暂无


漏洞评价:

评论