当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-083247

漏洞标题:某项目管理平台项目泄露包含政府集团学校重要机构

相关厂商:京华

漏洞作者: 龍 、

提交时间:2014-11-14 16:07

修复时间:2014-12-29 16:08

公开时间:2014-12-29 16:08

漏洞类型:成功的入侵事件

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-11-14: 细节已通知厂商并且等待厂商处理中
2014-11-14: 厂商已经确认,细节仅向厂商公开
2014-11-24: 细节向核心白帽子及相关领域专家公开
2014-12-04: 细节向普通白帽子公开
2014-12-14: 细节向实习白帽子公开
2014-12-29: 细节向公众公开

简要描述:

某项目管理平台项目泄露

详细说明:

京华项目管理
ExG3
应用支撑平台、中间件套件产品,包含ESB、Portal、BPM、统一用户管理、统一认证中心5个产品。

EXGS公文交换系统
在不同的OA或应用系统间交换结构化数据和文件

EXKM
知识管理子系统

ExMessenger
即时消息子系统

EXOA协同管理平台(JAVA版本)
发布产品的最新信息,更新,计划等内容

ExMissRep历史公文库
历史公文库

EXOA简化版

EXPDA
移动办公

ExTools平台工具

WPS专题
在OA项目中的WPS集成技术资料。

会议管理
会议管理是EXOA产品里的一个功能模块,我们以独立项目的方式进行维护

信息发布

单点登录和用户中心

固定资产管理
固定资产管理是EXOA产品的一个模块,我们以项目的方式进行维护

安全保密平台

客户端安装程序

督查督办(四位一体)

移动办公

行业产品包
包括公文流转、流程表单设计工具、应用支撑平台、会议管理等功能。

Expecker应用性能监控
应用系统性能监控软件

ExSaas管理平台

GOAK14062476-广州公共资源交易中心办公自动化系统
tggzyoa

iExOA移动办公项目

东城iExOA

中国太平保险集团移动办公系统

中外运集团iExOA

中山交通局项目iExOA

二汽iexoa

云南临沧市烟草专卖局移动办公系统

从化市政府iExOA

体育局移动办公系统

前海iEXOA

北京中铝iExOA

北京华电iExOA移动办公(简版oa)

北城公路局iExOA

南城养护所iExOA
南城养护所移动OA

南沙区政府移动办公

发展集团移动办公

妇联分库测试

广东中烟iExOA移动办公

广东中烟iExOA移动办公项目

广东海事局移动办公内部综合管理系统

广州市园林局iexoa

广州市国资委移动办公系统

广州市城管委iExOA

东城公路局iExOA

中外运股份公司iExOA

云南中烟iExOA

宁波港iExOA

广东海事局iExOA

广东省地税局移动办公

广州市体育局ipad移动办公系统

广州市水务局iExOA

广州市环保局iExOA

广州市科信局iExOA

广州市外事办iExOA

广州市财政局iExOA

广州港务局移动办公系统

广州质监局iExOA

广州道路养护中心iExOA

广州重点办iExOA

桂林漓泉iExOA

沈阳铝镁iExOA

洛阳移动办公项目

深交委移动OA
此项目未签订合同,属于提前投入项目

深圳交委iExOA

深圳南山区教育局iExOA(演示)

深圳市电子政务资源中心移动办公

深圳市社工委移动办公

深圳盐田区政府iExoa

珠江地产iExOA

珠江堤防移动办公系统

珠海香洲区府移动办公系统(测试)

白云区政府iExOA

白云山管理局iexoa

省人大iExOA及电子会议系统

省教育厅iexoa

移动办公分库测试

立白iExOA

粤海控股集团iExOA

红云红河项目iExOA

红辽移动办公

经贸委iExOA

西部传媒iExOA移动办公

贵州省六盘水钢铁公司iExOA

首钢国际iExOA移动办公

M07001

东胜数字教育项目

中共广州市委老干部局办公自动化系统项目

中国外运股份公司办公系统
CVS路径:
中国外运集团:/cvsroot/zgwy0710_project
中国外运股份:/cvsroot/ZGWYTG(中国外运推广)
由于之前没有记录问题到这,从2014-08-11开始,这里记录外运股份的问题

中国外运集团OA系统

中国普天
CVS路径:/cvsroot/pt0710_project

成都普天
CVS路径:/cvsroot/cdc

普天股份公司IMIS
股份公司环境为ibm portal ,以及WAS6.0 数据库采用ORACLE10G,实现股份公司门户、协同办公以及统一用户管理

杭州鸿雁
CVS路径:/cvsroot/hzhy

中国核工业集团办公系统
中核平台采用涉密版.net,数据库为sql server2000

中国证券监督管理委员会广东监管局
中国证券监督管理委员会广东监管局OA平台信息系统、互联网监管信息平台

中山交通运输局项目

中山广弘地产(exoa2003)

中铝国际综合信息平台系统
客户全称是:中铝国际工程有限责任公司
CVS路径:/cvsroot/zlgj1919_project

中铝国际综合信息平台系统二期

中铝项目二期-洛阳院项目

云南中烟工业协同管理系统(二期)

SAP/MDM/TFM接口项目

云南中烟应用支撑平台

云南中烟数据交换平台

云南中烟日常维护

协同办公系统与CA安全体系集成

大用户中心及外事系统

工程投资项目管理

红塔升级项目

营销中心档案系统

邮件系统建设及集成

云南省烟草公司临沧市公司

云南省烟草公司临沧市公司OA
cvs路径:/cvsroot/ynlc_project

云南红塔集团

红塔辽宁

红塔集团总部

云计算平台
基于云计算思想的平台和应用研究

京华企业协同管理平台产品(2014 JAVA版)
是京华信息协同管理平台2014年新发布的版本,此版本在行业产品包的基础上做了较大的调整,2014新版平台产品包括5个分支产品,分别如下:
门户系统:负责对门户系统的配置管理;
内容管理:是信息发布、知识管理平台,也用于通知公告、信息发布、知识库等功能;
协同管理平台:包括工作流应用以及其他基础功能的应用,如会议管理、车辆管理等功能;
工作流设计工具:是一跨基于.net平台的C/S架构工具,代替旧版OA中的流程表单设计工具;
应用支撑平台:是对协同管理平台中的组织结构、系统使用权限、日志等的管理平台。...

产品需求管理(子系统)
暂时作为记录产品需求的需求系统
1、产品评审的整改需求
2、从各事业部收集的产品开发需求

内容管理系统
包括信息发布管理、知识管理、通知公告等功能

协同管理平台
包括工作流应用以及其他基础功能的应用,如会议管理、车辆管理等功能

国产化平台
京华协同管理平台国产化支持的一系列测试,包括数据库、中间件选型确认测试等。

工作流设计软件
是一跨基于.net平台的C/S架构工具,代替旧版OA中的流程表单设计工具

平台产品移动办公平台
记录平台产品OA和移动办公的对接的问题及平台产品移动办公的相关问题

应用支撑平台
是对协同管理平台中的组织结构、系统使用权限、日志等的管理平台。

2014版协同产品需求、问题、建议反馈平台
收集来至各事业部对新产品的需求、建议和发现的BUG。

门户管理平台
负责对门户系统的配置管理

京华企信

从化党政机关办公系统项目

佛山市奥园置业股份有限公司
2012年年度维护合同项目、数据分库项目

内部IT平台升级
公司内部IT平台升级,项目目标: 网络环境升级,实现千兆到桌面,并可为服务器\重要部门\领导桌面等环境制订加强的安全策略
所有内部应用迁移到新服务器,集中管理,集中备份,并提供更好的性能
邮件系统升级到新版本,扩容
为相关系统制定管理规范

前海深港合作区协同办公平台软件系统采购项目

北京出入境检验检疫局项目

北京华电天仁(北京国电)

北京华电天仁电力控制技术有限公司协同办公平台

北京首钢

首钢实业公司

南沙区管委会督办系统

四川省交通厅OA系统

四川省交通厅运管局项目

四川高管局

国家安监总局iExOA

国家安监总局政务信息平台

基于国产CPU/OS的地方政府办公信息系统(核高基)

天津港集团办公系统
CVS路径:/cvsroot/tjg0803_project

宁波港办公系统
该系统运行环境:操作系统为aix,数据库为oracle10g,在集团及下属单位部署了办公系统,单位间通过公文交换实现文件传输
CVS路径:/cvsroot/nbg0806_project

广东中烟办公协同项目
广东中烟办公协同项目.

广东中烟综合管理平台项目

广东中烟项目

广东工业大学
培训及系统完善

广东工业大学(2014升级)
OA系统和移动办公系统

广东核电集团

广东省人大机关综合办公平台

广东省公安厅交通管理局

省公安厅交通管理局OA升级项目

广东省出入境管理局绩效考核系统

广东省发改委_java

WPS升级

广东省发改委oa升级

广东省教育厅

广东省新闻出版局

广东省烟草专卖局门户项目
广东省烟草专卖局门户项目

广东省科技厅项目

广东省粮食储备局

广东省融资再担保有限公司
再担保项目管理平台项目

广东省铁路建设投资集团

广州交委项目
广州交通委员会和广州交通信息化建设营运有限公司

广州市人民政府外事办公室政务协同办公平台建设项目

广州市人民政府政务管理办公室OA系统

广州市体育局OA升级项目

广州市体育局(JAVAOA)

ipad
ipad web 版移动办公,迁移自白云

协同二期

市体育局GI
(用户已升级,该系统已弃用)

广州市体育局WPS升级

网站升级(2011)

广州市体育职业技术学院

广州市农商银行(2013运维)

广州市南沙区政府

广州市发展改革委员会(java)

广州市发展集团项目

广州市国有资产监督管理委员会OA项目
广州市人民政府国有资产监督管理委员会办公自动化系统升级改造项目

广州市城管委项目
包含OA、推广等项目

广州市城管执法局OA系统

广州市教育局

广州市教育评估和教师继续教育指导中心

广州市林业和园林局OA互联办公系统项目
广州市林业和园林局采购OA互联办公系统项目

广州市标准化研究院档案系统与市府办业务对接开发项目

广州市标准化研究院移动办公平台项目
广州市标准化研究院移动办公平台项目

广州市标准化研究院行政复议网上决定公开项目

广州市档案局

广州市水务局

广州市环保局
广州市环保局 环境信息中心

花都区环保局

广州市电化教育馆
办公自动化系统升级改造项目(暨门户网站及OA系统的升级维护与数据对接)

广州市直属机关工作委员会系统优化升级项目

机关工委信息安全项目

广州市科信局OA系统

广州市科技和信息化局

电子政务资源管理平台内部综合业务系统子项目

广州市第二汽车公共公司办公系统

广州市经贸委OA项目
市经贸委办公自动化系统升级改造项目

广州市财政局
广州市财政局

广州市质量监察局

广州市道路养护中心

广州市道路养护中心南城养护所升级改造项目
包括: OA升级+移动办公+网站改造

广州市重点办项目
广州市重点建设项目办公室OA项目

广州市重点办项目二期

广州市黄埔区教育局综合应用管理系统
广州市黄浦区教育局综合应用管理系统

广州开发区财政局
新的建设项目,版本java weblogic+oracle

广州恒运东区热力有限公司OA系统建设项目

广州港务局

广州港务局2014OA系统升级

广州港集中式协同办公自动化系统建设项目

广州环保局

广州立白集团LMP门户升级项目
广州立白集团LMP门户升级项目的建设内容包括企业门户、协同办公、知识管理、移动办公和流程整合

广州重点办统计报表系统建设项目
广州重点办统计报表系统建设项目:
重点办新一期项目自八月二十四日内部启动,八月二十七日项目启动,二十九日进驻现场;根据项目主计划的实现要求,自本周开始至九月三十一日(五周时间)完成上线准备,项目进度采取迭代方式推进,时间紧、任务重,特别是优化和测试工作量大。

广西中烟优化项目

广西中烟-两项工作第二部分
广西中烟第二期两项工作

广西等保完善项目

广西发改委

政府事业部项目管理平台
政府事业部项目管理平台

政府行业版协同管理平台
政府事业部政府行业的标准产品研发项目,标准产品问题管理、相关文档(需求、设计、技术参考等)都存放在这个项目中。

无用项目(可删除)

桂林漓泉啤酒OA升级项目

江门市委办公自动化系统

沈阳铝镁oa
北京公司项目,项目经理刘瑜

浙江省象山工商

深圳LGZZB

深圳南山教育局项目

深圳司法局

深圳坪山管委会

深圳市交通运输委员会协同办公系统

深交委OA升级项目

深交委“1+9+4”廉政审查与回访信息管理系统

深圳市妇联云OA
深圳市妇女联合会云OA

深圳市委党校

深圳市委党校OA升级项目

深圳市气象局

深圳市电子政务资源中心OA

深圳市社工委OA

深圳证监局行政许可及备案管理网上报送系统建设项目合同

深广电三期升级项目

深广电节目购销项目

清远市党政办公自动化系统改版升级建设项目

清远市政务协同办公系统—移动办公平台项目

烟草行业版协同管理平台
烟草事业部烟草行业的标准产品研发项目,标准产品问题管理、相关文档(需求、设计、技术参考等)都存放在这个项目中。

统一用户管理中心(UUAM)
集中管理组织内部应用系统的用户账号。主要应用在基于IBM Portal/TAM的项目中,代替IBM TIM产品.

热线部资料

珠江地产门户、OA项目
珠江地产门户、 OA项目

珠江堤防OA系统

珠海香洲区政府项目

白云区政府OA项目

白云区教育局

白云区财政局移动办公ICT

白云山管理局
白云山管理局协同办公系统

网格管理

盐田区政府

盐田OA升级项目

省人大会议文件电子化系统
包括会议文件管理系统和会议文件阅读系统两部分。

省地税发票抽奖软件

第三方库封装
对第三方提供代码库的二次封装

TAM ADK封装
对TAM ADK的WebService封装

广东CA中心库
GDCA库的封装

粤海集团OA项目
目前进行的是一期项目。2011年3月1日

粤海2012~2017年度维护项目

粤海国资委项目
粤海国资委项目已于今年2013年1月8日完成验收,应该移交运维,现在把项目信息简单说明下:
1.粤海国资委项目是粤海一期项目合同外附加的功能,单独签订了合同(验收报告见附件)
2.项目相关文档资料在之前移交的粤海项目的文档目录下(/document/粤海项目二期/与省国资委资产监督管理的数据交换),文档资料有:数据采集规范、Excel报表样式、需求说明、系统设计、数据库模型、实施维护、项目变更、验收报告等资料。当时粤海项目移交的时候文档资料一起拷贝过给苏伟特同学和金胜同学,cvs库上也有该文档目录(document目录),如需要也可以找我要。...

粤财控股集团

系统部署

Apache(httpd)

DB2数据库

JBoss中间件

MSSQLServer数据库

MySQL数据库

Oracle数据库

Redhat操作系统

Tomcat中间件

WebLogic中间件

WebSphere中间件

Windows2008操作系统

红云红河集团的项目

内蒙古昆明卷烟的项目

红云红河集团三项工作信息化平台
红云红河集团协同办公系统补充合同

红云红河项目二期(SAP整合)
红云红河烟草(集团)有限责任公司协同办公系统项目

红云项目

红塔两项工作信息化平台
红塔集团两项工作包括办事公开民主管理网站、三项工作。其中三项工作包括工程投资、物资采购、宣传促销。

芭田协同办公管理平台

花都财政局
花都财政局

贵州中烟优化升级项目

贵州中烟-两项工作

贵州交通全省运维项目

贵州省交通厅政务办公系统项目

公路局政务办公系统

贵州省高速公路管理局政务办公系统
贵州省高速公路管理局政务办公系统

重庆高速集团综合办公管理系统建设项目

项目计划管理系统
用直观的方式管理大量的项目计划

顺德财税

首钢国际协同办公系统

黄山市电子政务内网多业务综合办公系统

漏洞证明:

京华项目管理

http://61.144.34.178


8.jpg


7.jpg


6.jpg


5.png


4.jpg


3.jpg


2.png


1.jpg


修复方案:

版权声明:转载请注明来源 龍 、@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2014-11-14 17:18

厂商回复:

感谢您对CNVD的支持,该漏洞不能复现。此外,CNVD暂未建立与系统管理单位的直接处置渠道。

最新状态:

暂无