漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0158097
漏洞标题：中国中铁某系统越权访问系统日志+弱口令导致session、协同办公、全公司通讯录泄露
相关厂商：中铁集团
漏洞作者： 路人甲
提交时间：2015-12-05 01:14
修复时间：2016-01-21 18:22
公开时间：2016-01-21 18:22
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-05： 细节已通知厂商并且等待厂商处理中
2015-12-09： 厂商已经确认，细节仅向厂商公开
2015-12-19： 细节向核心白帽子及相关领域专家公开
2015-12-29： 细节向普通白帽子公开
2016-01-08： 细节向实习白帽子公开
2016-01-21： 细节向公众公开
简要描述：
中国中铁股份有限公司是集基建建设、勘察设计与咨询服务、工程设备和零部件制造、房地产开发、铁路和公路投资及运营、矿产资源开发、物资贸易等业务于一体的多功能、特大型企业集团，也是中国和亚洲最大的多功能综合型建设集团。2015年，在《财富》“世界500强企业”中排名第71位。[1] 在《中国品牌价值研究院》“2015年中国品牌500强”中排名第25位。[2]
成立60年来，中国中铁先后修建了77925 公里的铁路，占全国铁路总里程的三分之二以上；建成电气化铁路接触网52894 公里，占全国电气化铁路的95% ；参与建设的公路超过13781公里，其中高速公路超过7708 公里，约占全国高速公路总里程的十分之一；参与建设了全国五分之三的城市轨道工程；修建了武汉长江大桥、南京长江大桥、东海大桥、杭州湾跨海大桥等9000 多座大桥，总长达9297 公里；建成秦岭隧道、太行山隧道、厦门翔安海底隧道、武汉长江隧道等长大隧道，共计6886 公里。公司建设者八次远征南极，承担了我国中山站、长城站、昆仑站建设和维护任务。公司还先后参加了国内外5000 余项公路、机场、码头、水电、地铁、高层建筑、市政等大型工程的设计与施工，经营范围覆盖到土木建筑的各个领域，工程项目遍布全国各省市自治区和全球60多个国家和地区。
详细说明：
#1越权访问系统日志session泄露
**.**.**.**:8000/seeyon//logs/ctp.log
#2弱口令协同办公、全公司通讯录
**.**.**.**:8000/seeyon/
wangxz 123456
漏洞证明：
同上
修复方案：
修复
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2015-12-09 18:42
厂商回复：
CNVD确认并复现所述情况,已由CNVD通过网站管理方公开联系渠道向其邮件通报，由其后续提供解决方案；同时转由CNCERT向国家上级信息安全协调机构通报。
最新状态：
暂无