漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0145008
漏洞标题：雨润集团OA系统和邮件系统存在弱口令可导致敏感信息泄漏
相关厂商：雨润集团
漏洞作者： 洞主
提交时间：2015-10-08 16:06
修复时间：2015-11-22 16:08
公开时间：2015-11-22 16:08
漏洞类型：内容安全
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-10-08： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-11-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
可不可以先把我9月份的洞给审了。
详细说明：
雨润oa系统入口 oa.yurun.com
尝试用admin登录 提示用户无效....随手输入了用户名1234 密码1234 提示密码错误，说明存在1234用户有没有！
密码呢，试试123 登录成功，burpsuit都省了...
用户名1234 密码123 登录成功！
可以查看员工信息、流程、邮件等内容，但貌似这个邮件是废弃的系统
员工信息有多少呢？
18630条！姓名、级别、座机、手机号、邮箱地址，一览无余。
刚刚说了，邮件好像是废弃的，因为我在百度上看到了他们的exchange邮箱，
http://oa1.yurun.com
从OA系统我们已经可以得知一些员工的邮箱地址，简单的试了几个，就用第三张截图里的wangxuedong@yurun.com
尝试登录，用户名wangxuedong 密码123456 登录成功：
里面有大量敏感信息，战略协议、采购合同等。
漏洞证明：
oa系统弱口令 用户名1234 密码123
邮件系统弱口令 用户名wangxuedong 密码123456
修复方案：
1、员工安全教育，相信使用弱口令的员工远不止这两个。
2、对互联网开放的系统是否考虑增加双因素认证呢？
版权声明：转载请注明来源 洞主@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：8 (WooYun评价)