当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-092656

漏洞标题:某电子信息集团有限公司漏洞可导致内网渗透

相关厂商:某电子信息集团有限公司

漏洞作者: 枪花

提交时间:2015-01-20 14:39

修复时间:2015-03-06 14:40

公开时间:2015-03-06 14:40

漏洞类型:命令执行

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-01-20: 细节已通知厂商并且等待厂商处理中
2015-01-23: 厂商已经确认,细节仅向厂商公开
2015-02-02: 细节向核心白帽子及相关领域专家公开
2015-02-12: 细节向普通白帽子公开
2015-02-22: 细节向实习白帽子公开
2015-03-06: 细节向公众公开

简要描述:

某电子信息集团有限公司漏洞可导致内网渗透

详细说明:

天津中环电子信息集团有限公司成立于2002年(前身为1959年设立的天津市电机工业局),是一家从事资本经营、生产经营的大型国有独资企业,是天津市政府授权经营国有资产的大型企业集团。现有国内上市公司2家,国有全资及国有控股企业、三资企业及其他类型企业200余家,另有各类教育及研发机构20余家。主要从事军民用通信、广播音像、半导体器件及材料、基础电子产品、仪器仪表等产品的研发、生产和经营
报表管理系统http://60.29.19.128/zbb/
存在命令执行漏洞
漏洞地址:
http://60.29.19.128/zbb/tjsinfo/zbb/system/login.action
具有系统权限
可以导致内网渗透

漏洞证明:

系统权限,可导致内网渗透,危及企业内部机密信息等

2.jpg


1.png

修复方案:

更新struts2
转交CERT互联网应急中心处理

版权声明:转载请注明来源 枪花@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:11

确认时间:2015-01-23 11:35

厂商回复:

CNVD确认所述漏洞情况,暂未建立与网站管理单位的直接处置渠道,待认领。

最新状态:

暂无


漏洞评价:

评论

  1. 2015-01-26 15:34 | ucifer ( 普通白帽子 | Rank:156 漏洞数:52 | 萌萌哒~)

    比你晚了一步。。

  2. 2015-01-26 17:38 | 枪花 ( 实习白帽子 | Rank:50 漏洞数:11 | 黑夜独行)

    @ucifer 没什么意思 小厂商