当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0209581

漏洞标题：某市居民健康档案管理系统存在大量弱口令漏洞（涉及175万多条用户敏感信息/孕龄妇女详细信息/联系电话/详细住址/预产信息/儿童出生证明/父母姓名联系电话等等）

相关厂商：某市居民健康档案管理系统

漏洞作者： 路人甲

提交时间：2016-05-17 14:30

修复时间：2016-07-03 17:30

公开时间：2016-07-03 17:30

漏洞类型：敏感信息泄露

危害等级：高

自评Rank：12

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-05-17： 细节已通知厂商并且等待厂商处理中
2016-05-19： 厂商已经确认，细节仅向厂商公开
2016-05-29： 细节向核心白帽子及相关领域专家公开
2016-06-08： 细节向普通白帽子公开
2016-06-18： 细节向实习白帽子公开
2016-07-03： 细节向公众公开

简要描述：

RT

详细说明：

系统URL：**.**.**.**/archive/exitLogin.do


弱口令：

cyq:123456
fmq:123456
gxy:123456
hds:123456
ltq:123456
nwc:123456
pss:123456
wsj:123456
yjx:123456


使用上述弱口令列表中的wsj：123456进行测试：

111.png


查询辖区孕龄妇女：共计770067条孕龄妇女的详细住址，联系电话，相关病史，出生年月等信息。

111.png


查看辖区产妇管理，涉及95847条妇女详细信息（姓名、孕次、产次、某次月经、预产期、丈夫姓名、丈夫联系电话等等非常敏感信息）

111.png


查看孕产妇产检日志，有349074条用户详细信息（姓名、身份证、家庭住址、联系电话）

111.png


查询辖区儿童，涉及348683条详细信息（儿童出生情况信息）

111.png


188200条儿童详细信息（姓名、身份证号、家庭住址、父母姓名、父母联系电话等等）
涉及敏感信息条数共计：770067+95847+349074+348683+188200=1751871条

漏洞证明：

111.png


111.png

修复方案：

全面排查修复口令。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2016-05-19 17:21

厂商回复：

漏洞重复，CNVD不在重复处置。

最新状态：

暂无

漏洞评价：

评价