漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0165722
漏洞标题：大信控股某站目录遍历漏洞／openssl heartbleed漏洞
相关厂商：大信控股
漏洞作者： 枫子
提交时间：2015-12-30 15:28
修复时间：2016-02-12 18:49
公开时间：2016-02-12 18:49
漏洞类型：服务弱口令
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-30： 细节已通知厂商并且等待厂商处理中
2016-01-06： 厂商已经确认，细节仅向厂商公开
2016-01-16： 细节向核心白帽子及相关领域专家公开
2016-01-26： 细节向普通白帽子公开
2016-02-05： 细节向实习白帽子公开
2016-02-12： 细节向公众公开
简要描述：
中山市大信控股有限公司，是一家以商业地产开发经营为龙头的多元化大型投资民企，2015年跻身中国商业地产综合10强企业。大信控股孕育于伟人故里中山市，经过多年的发展，以诚信筑基，信行天下为发展理念，不断地壮大企业规模，现拥有上千名员工，产业涉及商业、住宅、物业、建筑、餐饮、酒店、教育、零售、智能科技、金融等多个领域，创建了逾2万人的幸福居所，以及开发了推动中山现代商业圈发展的标杆项目——大信·新都汇。2012年大信以深挖中山，布局全国发展宏略，开发项目走进中山15个镇区，拓张的步伐向澳门、北京等地区延伸，成为中国最具成长速度十强企业之一。2011起至今，公司已经连续四年保持中国房地产开发企业商业地产10强，并于2014年获得成长速度10强称号，中山市第一届社会责任传媒大奖，2015年大信·新都汇更荣获中国房地产开发企业典型商业项目等殊荣，品牌知名度及影响力已逐步扩大至珠三角及全国各地。
详细说明：
如题，存在目录遍历的地方为上传文件，可获取最近公司招聘的人员信息及服务器版本信息
http://**.**.**.**/uploads/
简历信息还是挺详细的。
下面是heartbleed漏洞验证，并未做利用
漏洞证明：
RT
修复方案：
1)正确配置权限；
2）打上相应的漏洞补丁；
3）加强管理。
版权声明：转载请注明来源 枫子@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2016-01-06 15:14
厂商回复：
CNVD确认并复现所述情况，已经由CNVD通过网站公开联系方式向网站管理单位通报，由其后续协调网站管理部门处置。
最新状态：
暂无