漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0126911
漏洞标题：宝洁中国mongo数据库未授权访问
相关厂商：宝洁中国
漏洞作者： 天地不仁 以万物为刍狗
提交时间：2015-07-15 14:57
修复时间：2015-08-29 14:58
公开时间：2015-08-29 14:58
漏洞类型：系统/服务运维配置不当
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-07-15： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-08-29： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
天地本不仁 万物为刍狗
【HD】 以团队之名 以个人之荣耀 共建网络安全
详细说明：
121.14.37.196 27017号端口打开
连接了一下
先说说为什么确定时 宝洁的吧 在 feedback 中有提示
百度了下宝洁 得到 url： www.pg.com.cn 而数据库也是 pg 所以判定为 宝洁
下面就是敏感信息了 1万5的用户信息（手机 账号 密码 密保问题 答案 等信息）
看了下 详细信息···也是醉了 上面密码都是加密 下面直接明文····还有各种信息
下面这个貌似是定位信息 就是经纬度的（43万的信息）
调用腾讯的地图的经纬度接口看了下位置（腾讯经纬度接口前面为 lat 后面为 lng 中间逗号隔开）：http://apis.map.qq.com/uri/1/geocoder?latlng=23.137287,113.373192&referer=pcqq
其他信息就不截图了
漏洞证明：
修复方案：
版权声明：转载请注明来源 天地不仁 以万物为刍狗@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝