光宇游戏某服务器rsync未授权访问

漏洞概要

缺陷编号:WooYun-2015-098073

漏洞标题:光宇游戏某服务器rsync未授权访问

相关厂商:光宇游戏

漏洞作者:路人甲

提交时间:2015-02-24 18:50

公开时间:2015-04-30 18:48

漏洞类型:未授权访问/权限绕过

危害等级:低

自评Rank:5

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-02-24: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-04-30: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

光宇游戏某服务器rsync未授权访问

详细说明:

服务器ip为**.**.**.**,猜测为日志服务器,包含部分服务器的访问日志及用于分析的python、shell脚本,脚本中包含mysql等配置信息,可直接远程访问mysql数据库信息:

系统访问日志及脚本:

部分脚本包含mysql配置信息,可直接远程访问:

部分目录可上传文件:

漏洞证明:

如上

修复方案:

添加访问权限

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

评价