当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0145008

漏洞标题:雨润集团OA系统和邮件系统存在弱口令可导致敏感信息泄漏

相关厂商:雨润集团

漏洞作者: 洞主

提交时间:2015-10-08 16:06

修复时间:2015-11-22 16:08

公开时间:2015-11-22 16:08

漏洞类型:内容安全

危害等级:中

自评Rank:10

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-10-08: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-11-22: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

可不可以先把我9月份的洞给审了。

详细说明:

雨润oa系统入口 oa.yurun.com

2.jpg


尝试用admin登录 提示用户无效....随手输入了用户名1234 密码1234 提示密码错误,说明存在1234用户有没有!
密码呢,试试123 登录成功,burpsuit都省了...
用户名1234 密码123 登录成功!
可以查看员工信息、流程、邮件等内容,但貌似这个邮件是废弃的系统

3.jpg


员工信息有多少呢?

4.jpg


18630条!姓名、级别、座机、手机号、邮箱地址,一览无余。
刚刚说了,邮件好像是废弃的,因为我在百度上看到了他们的exchange邮箱,

6.jpg


http://oa1.yurun.com
从OA系统我们已经可以得知一些员工的邮箱地址,简单的试了几个,就用第三张截图里的wangxuedong@yurun.com
尝试登录,用户名wangxuedong 密码123456 登录成功:
里面有大量敏感信息,战略协议、采购合同等。

漏洞证明:

oa系统弱口令 用户名1234 密码123

4.jpg


邮件系统弱口令 用户名wangxuedong 密码123456

6.jpg


修复方案:

1、员工安全教育,相信使用弱口令的员工远不止这两个。
2、对互联网开放的系统是否考虑增加双因素认证呢?

版权声明:转载请注明来源 洞主@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:8 (WooYun评价)