漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0118043
漏洞标题：汇通百达某服务配置不当(敏感信息泄漏)
相关厂商：汇通百达网络科技(上海)有限公司
漏洞作者： Secscorpio
提交时间：2015-06-05 18:00
修复时间：2015-07-20 18:02
公开时间：2015-07-20 18:02
漏洞类型：系统/服务运维配置不当
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-05： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-07-20： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
RT
详细说明：
汇通百达zabbix配置不当，致使可以进入zabbix，并且拥有全部的权限。
1.登录http://222.73.234.172，默认初始用户名和密码，admin/zabbix；
2.用户信息
3.监控项，各种交换机、路由器、虚拟化设备、xx项目、xx报表、xx审计、xx酒店预订系统等等
4.应该可以成功运行zabbix自带的各种命令、反弹shell提升权限之类的，不敢动，就没尝试；
5.zabbix归属于谁呢？
6.知道这个zabbix是谁家的了吧
漏洞证明：
如上详细说明所示
修复方案：
1.修改用户名、密码；
2.提升运维人员的安全意识
版权声明：转载请注明来源 Secscorpio@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝