漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2013-020933
漏洞标题:国家电网某投标系统弱口令+权限绕过=>高危(5)
相关厂商:国家电网公司
漏洞作者: 马燕羊蝎子
提交时间:2013-03-29 23:11
修复时间:2013-05-13 23:11
公开时间:2013-05-13 23:11
漏洞类型:未授权访问/权限绕过
危害等级:高
自评Rank:20
漏洞状态:厂商已经确认
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2013-03-29: 细节已通知厂商并且等待厂商处理中
2013-03-30: 厂商已经确认,细节仅向厂商公开
2013-04-09: 细节向核心白帽子及相关领域专家公开
2013-04-19: 细节向普通白帽子公开
2013-04-29: 细节向实习白帽子公开
2013-05-13: 细节向公众公开
简要描述:
国家电网某投标系统弱口令+权限绕过导致数千家供应商银行卡等敏感信息泄露..
数千家供应商银行卡号,项目保证金等敏感信息泄露。。
主要是投标的各种信息..
绝对高危。。
拒绝跨省。
详细说明:
供应商信息泄露,2000多家。
供应商初始密码就是供应商账号,首次登陆需要用供应商的税务登记号去修改密码
漏洞证明:
修复方案:
增加身份验证,拒绝弱口令。
还有供应商名单。。。
安全体系够呛。。
拒绝跨省
版权声明:转载请注明来源 马燕羊蝎子@乌云
漏洞回应
厂商回应:
危害等级:中
漏洞Rank:7
确认时间:2013-03-30 08:35
厂商回复:
这个有点意思,但是公司的名称、账号一般都是公开的,这里其实未涉及太多敏感数据,同时如果你了解招投标相关事项的话,当一个标开标时,所有东西都是公开的了,目前公司所有招投标业务已统一到电子商务平台,这个系统仅仅涉及到退保证金的这个环节,不影响招投标的。
最新状态:
暂无