漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0160074
漏洞标题：北京睿智融科oa系统多处漏洞已经getshell
相关厂商：北京睿智融科
漏洞作者： niexinming
提交时间：2015-12-16 17:06
修复时间：2016-01-28 17:10
公开时间：2016-01-28 17:10
漏洞类型：命令执行
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-16： 细节已通知厂商并且等待厂商处理中
2015-12-18： 厂商已经确认，细节仅向厂商公开
2015-12-28： 细节向核心白帽子及相关领域专家公开
2016-01-07： 细节向普通白帽子公开
2016-01-17： 细节向实习白帽子公开
2016-01-28： 细节向公众公开
简要描述：
北京睿智融科控股股份有限公司 是一家具有软件企业认证的软件公司。公司从事证券、期货交易软件的开发、研制、销售和运营，致力于将公司领先的IT科技能力与丰富的金融行业经验相结合，为金融投资机构及金融投资者打造专业、便捷、智能的各类交易软件或交易系统。
我们拥有一支具备多年证券、期货市场从业经验，对证券、期货交易软件或交易系统具有专业、独到理解的团队。核心开发成员来自清华、中科院等著名学府，拥有丰富的金融行业软件研发经验，同时我们紧握行业资讯，积极创新研发，致力于为投资者提供最专业、最有价值的投资服务。
睿智融科在未来的时间里，不断进取，不断产品创新和技术创新，积极谨慎地为金融投资机构、金融投资者提供产品设计、研发和运营服务，开创多方共赢的未来。
真是不错的公司，但是服务器大量的安全隐患居然不知道
详细说明：
（1）redis未授权访问：
**.**.**.**:6379
（2）mongodb未授权访问
**.**.**.**:27017
(3)http://**.**.**.**/admin/index.jsp
oa系统管理员弱密码 账户：admin 密码：123456
(4）oa系统struts2命令执行漏洞
http://**.**.**.**/admin/page!main.action
(5)服务器的web是root权限
漏洞证明：
修复方案：
看来你们得找个靠谱的运维了
版权声明：转载请注明来源 niexinming@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2015-12-18 10:59
厂商回复：
CNVD确认所述情况，已由CNVD通过网站管理方公开联系渠道向其邮件通报，由其后续提供解决方案。
最新状态：
暂无