漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0116460
漏洞标题：江苏省海量数据技术研究所存在structs漏洞可任意命令执行
相关厂商：江苏省海量数据技术研究所
漏洞作者： danieluec
提交时间：2015-05-27 15:23
修复时间：2015-07-16 10:56
公开时间：2015-07-16 10:56
漏洞类型：命令执行
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-05-27： 细节已通知厂商并且等待厂商处理中
2015-06-01： 厂商已经确认，细节仅向厂商公开
2015-06-11： 细节向核心白帽子及相关领域专家公开
2015-06-21： 细节向普通白帽子公开
2015-07-01： 细节向实习白帽子公开
2015-07-16： 细节向公众公开
简要描述：
江苏省海量数据技术研究所存在structs漏洞，可任意命令执行。
公司简介：
江苏省海量数据技术研究所成立于2010年3月。目前员工接近百名，内设11个部门。其中本科以上学历占98%，研究生学历占20%，“985”“211工程”类重点院校毕业占80%，直接从事研发和工程实施的专业技术人员占总人数的85%以上，高级工程师占30%。
研究所专注于数据挖掘领域的研究，通过技术、运营、资源的有效整合，建立了一整套研发、测试、商务、安装、培训、售后、定制化服务等的科学管理体系，使得研究所成立的短短三年内，产品实施遍布全国近30个地市，并赢得了各地用户对所内产品实力和专业服务的肯定，一举成为行业内极具竞争力的企业。目前已有多项拥有自主知识产权的软件产品，获得了中华人民共和国版权局颁发的软件著作权证书、江苏省信息和文化委员会颁发的“软件产品登记证书”“江苏省软件企业认定证书”等多项资质。
详细说明：
网站主页：
测试一个路径：
漏洞存在且可命令执行，
能写入一句话，但不能解析，就不深入了。
漏洞证明：
以下目录有几个测试用的一句话，很抱歉，请厂商删除：
修复方案：
升级
版权声明：转载请注明来源 danieluec@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2015-06-01 10:55
厂商回复：
CNVD确认并复现所述情况，已转由CNCERT下发给江苏分中心，根据其反馈尚未建立与网站管理单位的直接处置渠道，待认领。
最新状态：
暂无