漏洞概要 关注数(24) 关注此漏洞
缺陷编号:wooyun-2015-0145008
漏洞标题:雨润集团OA系统和邮件系统存在弱口令可导致敏感信息泄漏
相关厂商:雨润集团
漏洞作者: 洞主
提交时间:2015-10-08 16:06
修复时间:2015-11-22 16:08
公开时间:2015-11-22 16:08
漏洞类型:内容安全
危害等级:中
自评Rank:10
漏洞状态:未联系到厂商或者厂商积极忽略
漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]
Tags标签: 无
漏洞详情
披露状态:
2015-10-08: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-11-22: 厂商已经主动忽略漏洞,细节向公众公开
简要描述:
可不可以先把我9月份的洞给审了。
详细说明:
雨润oa系统入口 oa.yurun.com
尝试用admin登录 提示用户无效....随手输入了用户名1234 密码1234 提示密码错误,说明存在1234用户有没有!
密码呢,试试123 登录成功,burpsuit都省了...
用户名1234 密码123 登录成功!
可以查看员工信息、流程、邮件等内容,但貌似这个邮件是废弃的系统
员工信息有多少呢?
18630条!姓名、级别、座机、手机号、邮箱地址,一览无余。
刚刚说了,邮件好像是废弃的,因为我在百度上看到了他们的exchange邮箱,
http://oa1.yurun.com
从OA系统我们已经可以得知一些员工的邮箱地址,简单的试了几个,就用第三张截图里的wangxuedong@yurun.com
尝试登录,用户名wangxuedong 密码123456 登录成功:
里面有大量敏感信息,战略协议、采购合同等。
漏洞证明:
修复方案:
1、员工安全教育,相信使用弱口令的员工远不止这两个。
2、对互联网开放的系统是否考虑增加双因素认证呢?
版权声明:转载请注明来源 洞主@乌云
漏洞回应
厂商回应:
未能联系到厂商或者厂商积极拒绝
漏洞Rank:8 (WooYun评价)