同航网内部邮箱弱密码导致大量敏感信息泄漏(航空公司/同航钱庄/财务账号与数据等)

漏洞概要

缺陷编号:WooYun-2015-0129872

漏洞标题:同航网内部邮箱弱密码导致大量敏感信息泄漏(航空公司/同航钱庄/财务账号与数据等)

相关厂商:同航网

漏洞作者:Hyjal

提交时间:2015-07-30 11:47

公开时间:2015-09-15 15:40

漏洞类型:内部绝密信息泄漏

危害等级:高

自评Rank:20

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2015-07-30: 细节已通知厂商并且等待厂商处理中
2015-08-01: 厂商已经确认,细节仅向厂商公开
2015-08-11: 细节向核心白帽子及相关领域专家公开
2015-08-21: 细节向普通白帽子公开
2015-08-31: 细节向实习白帽子公开
2015-09-15: 细节向公众公开

简要描述:

包含大量内部邮箱帐号密码,大量客服网站管理员帐号密码,航空公司B2B帐号密码,同航钱庄帐号密码,平台财付通帐号密码,财务数据。

详细说明:

内部邮箱帐号密码(80%以上都是拼音简写+123456,不全部列举了):

财务数据:

客服帐号密码(各种功能的客服):

登录 baiyu 123456帐号 高权限可查看所有订单详情,包含姓名和身份证号

短信平台,可自定义短信,轰炸机,诈骗什么的

同航钱庄地址:**.**.**.**用户名:chenli密码: cl123456

航空公司B2B帐号密码:

登录东航

财付通帐号密码:

漏洞证明:

修复方案:

加强员工安全意识

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:10

确认时间:2015-08-0115:38

厂商回复:

CNVD确认所述情况,已经转由CNCERT向民航行业测评中心通报,由其后续协调网站管理单位处置.

最新状态:

暂无

评价