漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-060835
漏洞标题：启明天镜漏洞扫描器任意文件下载漏洞
相关厂商：北京启明星辰信息安全技术有限公司
漏洞作者： kicks
提交时间：2014-05-15 13:46
修复时间：2014-08-13 13:48
公开时间：2014-08-13 13:48
漏洞类型：设计不当
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-15： 细节已通知厂商并且等待厂商处理中
2014-05-15： 厂商已经确认，细节仅向厂商公开
2014-05-18： 细节向第三方安全合作伙伴开放
2014-07-09： 细节向核心白帽子及相关领域专家公开
2014-07-19： 细节向普通白帽子公开
2014-07-29： 细节向实习白帽子公开
2014-08-13： 细节向公众公开
简要描述：
作为一款漏洞扫描器，自己的安全也很重要嘛，被人山寨了多不好。
详细说明：
记不清几年前了用过一次启明星辰的天镜扫描器，那会只是个软件，现在居然也做成了铁盒子用上了B/S架构（国内都喜欢玩盒子，其实厂家是希望我们做安全的没事多搬搬设备锻炼个好身体，不过我比较懒还是觉得nessus软件形式的用起来方便）
大概看了一下产品做得还是比较粗糙的，不知道是不是走的俄罗斯粗犷但实用路线。发现一处任意文件下载问题，我本来只想用用没想找漏洞，但是太明显了，扫一眼就看到了。
漏洞证明：
https://x.x.o.o/download/export.action?downloadForm.toolPosition=/WEB-INF/classes/jdbc.properties
修复方案：
都知道就不再啰嗦了。
版权声明：转载请注明来源 kicks@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2014-05-15 15:48
厂商回复：
非常感谢kicks大牛为我们发现了这个安全问题。也感谢您对我们产品的评价和指导。
我们将会尽快在产品升级包修正问题并公布修正方法。
需要说明一下，该漏洞要使用必须在任意用户已经登入产品的情况下才存在,而且我们的配置文件里重要信息也做了简单的加密。但依然是我们的一个疏忽导致这个问题存在，感谢漏洞作者提醒。也感谢乌云君及时的通知我们。
最新状态：
2014-05-16：我们已经在24小时内发布了紧急升级patch。请天镜用户用在线更新功能更新升级包6000350。即6.0.3.50的漏洞库版本，即可修复此问题。再次对kicks和乌云表示感谢。也请广大天镜用户放心，该漏洞需要登录系统后才能利用，并且能下载到的文件不含机密信息。修复方案：使用自动升级功能升级天镜到最新的漏洞库6000350。或者下载升级包离线升级：http://www.venustech.com.cn/DownFile/466/