漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0105748
漏洞标题：咕咚企业邮箱弱口令致支付宝邮箱、微博帐号、微信帐号等泄露
相关厂商：咕咚网
漏洞作者： sdc1992
提交时间：2015-04-04 06:28
修复时间：2015-05-21 13:46
公开时间：2015-05-21 13:46
漏洞类型：敏感信息泄露
危害等级：中
自评Rank：8
漏洞状态：厂商已经修复
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-04-04： 细节已通知厂商并且等待厂商处理中
2015-04-09： 厂商已经确认，细节仅向厂商公开
2015-04-19： 细节向核心白帽子及相关领域专家公开
2015-04-29： 细节向普通白帽子公开
2015-05-09： 细节向实习白帽子公开
2015-05-21： 厂商已经修复漏洞并主动公开，细节向公众公开
简要描述：
“约pao上咕咚”，第一眼看的时候吓我一跳……
详细说明：
规则：
实例：
邮箱一：
非常意外的发现了这封邮件：
（我是不是发现宝贝了？）
邮箱二：
老大，微博、微信的官方账号和自媒体账号都已经完成注册与认证工作。（并且我已经把这封邮件抄送给小伙伴们了~）
“详情请查看附件”（哦~）
邮箱三：
“共享地址：192.168.1.250”
“账号：guest 密码：codoon.0123”
“wifi密码：codoon20140312”
漏洞证明：
微博：
微信：
修复方案：
重要的邮箱还存在弱口令实在不太应该了……
但是要提醒一下贵司应规范企业邮箱的使用，包含帐号密码的这种邮件怎么可以乱抄送呢？
最后，弱口令是一个通病，还需企业加强安全意识的教育，希望不要责怪zhanglin小妹妹哦~
版权声明：转载请注明来源 sdc1992@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2015-04-09 10:10
厂商回复：
谢谢乌云以及发现问题的朋友
最新状态：
2015-05-21：已经修改
2015-05-21：已经修改