全国测绘资质管理系统存在通用SQL注射

漏洞概要

缺陷编号:WooYun-2014-054015

漏洞标题:全国测绘资质管理系统存在通用SQL注射

相关厂商:北京四维益友信息技术有限公司

漏洞作者:雅柏菲卡

提交时间:2014-03-21 11:14

公开时间:2014-06-17 11:15

漏洞类型:SQL注射漏洞

危害等级:中

自评Rank:8

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2014-03-21: 细节已通知厂商并且等待厂商处理中
2014-03-27: 厂商已经确认,细节仅向厂商公开
2014-03-30: 细节向第三方安全合作伙伴开放(绿盟科技、唐朝安全巡航、无声信息)
2014-05-21: 细节向核心白帽子及相关领域专家公开
2014-05-31: 细节向普通白帽子公开
2014-06-10: 细节向实习白帽子公开
2014-06-17: 细节向公众公开

简要描述:

.....

详细说明:

.....

漏洞证明:

修复方案:

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2014-03-2708:48

厂商回复:

CNVD确认并复现所述情况,已经由CNVD分别直接联系国家地理测绘局,并后续联系了北京四维益友信息技术有限公司。至24日,软件生产厂商已经直接联系用户完成了修复。经CNVD测试,修复工作已经完成。

最新状态:

暂无

评价

  1. 2010-01-01 00:00 U神 白帽子 | Rank:788 漏洞数:65)

    这么吊!必须关注!

  2. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    肯定没有内蒙古的,因为……内蒙古的已修复~~~哇哈哈哈~

  3. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    而且注入的地方,还有物理路径泄露的问题,这要是配合SQL注入,直接写一句话不是梦啊~~~

  4. 2010-01-01 00:00 雅柏菲卡 白帽子 | Rank:661 漏洞数:63)

    @鬼魅羊羔 额 这么乱的系统 北京四维没看到?

  5. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @雅柏菲卡 这套系统感觉时间很长了应该~~去年大概检测了几个地区的,都有注入和物理路径泄露,基本都是sa权限和DB权限,相当的不安全~~~

  6. 2010-01-01 00:00 雅柏菲卡 白帽子 | Rank:661 漏洞数:63)

    @鬼魅羊羔 是呢 这套系统的安全性你打几分?

  7. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @雅柏菲卡 一个注入就算高危了,这也没啥打分的说法啊~~更何况还有物理路径泄露的问题~~~

    要是这两个问题解决了,应该还算是不错的吧。。至少还没发现其他问题嗯

  8. 2010-01-01 00:00 Mr.leo 白帽子 | Rank:932 漏洞数:80)

    @雅柏菲卡 比你早几天,没发乌云是我的失误。
    http://loudong.360.cn/vul/info/id/4368

  9. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @Mr.leo 呵呵,你们真轻松,我们这工作原因,有些通用漏洞都不能上报~~~公司给不了几个钱,还不能让你赚外快~~~非常的蛋疼~~

  10. 2010-01-01 00:00 Mr.leo 白帽子 | Rank:932 漏洞数:80)

    @鬼魅羊羔 哈哈,还有这潜规则啊。果断换个公司

  11. 2010-01-01 00:00 雅柏菲卡 白帽子 | Rank:661 漏洞数:63)

    @Mr.leo 人生难免会失误

  12. 2010-01-01 00:00 Mr.leo 白帽子 | Rank:932 漏洞数:80)

    @雅柏菲卡 人生就是一场寓言

  13. 2010-01-01 00:00 cuger 白帽子 | Rank:133 漏洞数:14)

    @雅柏菲卡 忽略的节奏。。。。我之前已经提交过了http://www.wooyun.org/bugs/wooyun-2014-048932/trace/d4e3c87f1d054ae7cb37d50a1bdc44c2

  14. 2010-01-01 00:00 雅柏菲卡 白帽子 | Rank:661 漏洞数:63)

    @cuger 没忽略