漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0195083
漏洞标题：招商银行某站未授权访问与弱口令安全隐患
相关厂商：招商银行
漏洞作者： 白泽
提交时间：2016-04-11 17:48
修复时间：2016-04-12 11:16
公开时间：2016-04-12 11:16
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：18
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-04-11： 细节已通知厂商并且等待厂商处理中
2016-04-12： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
招商银行三个漏洞
详细说明：
140.206.58.111未授权访问导致源码数据库信息泄露，并可通过jenkin执行系统命令（未测试是否可外连,icmp未被禁止）
通过140.206.58.111发现一个项目并部署在coupon.o2o.cmbchina.com上，通过jenkin发现后台管理员帐户密码
通过端口扫描180.169.45.105，发现phabricator管理员用户存在弱口令，可查看APP掌上生活的部分源码并修改
漏洞证明：
1、jenkin未授权访问
2、jenkin泄露项目源码数据库
3、通过jenkin泄露的用户在
上成功登录
4、180.169.45.105弱口令导致掌上生活的部分源码泄露
修复方案：
密码密码密码
版权声明：转载请注明来源 白泽@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2016-04-12 11:16
厂商回复：
感谢你对招行的关注。
漏洞Rank：12 (WooYun评价)
最新状态：
暂无
漏洞评价：
评价
-
总感觉 洞主迟早被抓
( 普通白帽子 | Rank:789 漏洞数:98 | 没关系啊，我们还有音乐)