浙江省质量强省建设信息网Struts2远程命令执行漏洞

漏洞概要

缺陷编号:WooYun-2012-016054

漏洞标题:浙江省质量强省建设信息网Struts2远程命令执行漏洞

相关厂商:浙江省网络经济服务监管网

漏洞作者:bluesky

提交时间:2012-12-17 13:35

公开时间:2013-01-29 13:35

漏洞类型:文件上传导致任意代码执行

危害等级:高

自评Rank:12

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

Tags标签:

漏洞详情

披露状态:

2012-12-17: 细节已通知厂商并且等待厂商处理中
2012-12-17: 厂商已经确认,细节仅向厂商公开
2012-12-27: 细节向核心白帽子及相关领域专家公开
2013-01-06: 细节向普通白帽子公开
2013-01-16: 细节向实习白帽子公开
2013-01-29: 细节向公众公开

简要描述:

服务器存在Struts漏洞,权限直接是system

详细说明:

http://**.**.**.**/zlxyAct!chushihua.action浙江省质量强省建设信息网服务器存在Struts漏洞,权限直接是system没有进一步深入,不过下面可能可以做什么,就不用说了。http://**.**.**.**/fedemember/fedeMemberView.action?id=1319浙江省网络经济服务监管网服务器存在Struts漏洞,权限是administrator

漏洞证明:

http://**.**.**.**/zlxyAct!chushihua.action

http://**.**.**.**/fedemember/fedeMemberView.action?id=1319

修复方案:

有高人在,用不着我小菜了……

漏洞回应

厂商回应:

危害等级:中

漏洞Rank:9

确认时间:2012-12-17 16:21

厂商回复:

CNVD确认漏洞情况,已在政府类struts网站漏洞事件中批量转由CNCERT浙江分中心处置。按通用软件漏洞进行评分,rank 9

最新状态:

暂无

评价

  1. 2010-01-01 00:00 丶小蓝丶 白帽子 | Rank:3 漏洞数:1)

    GOV的不解释啊~安全着实让人捏把汗啊

  2. 2010-01-01 00:00 天行健 白帽子 | Rank:20 漏洞数:3)

    @xsser 为啥我那个 卫生部某系统Struts2命令执行 的漏洞没有通过呢?都快一周了呢,求通过

  3. 2010-01-01 00:00 Black Angel 白帽子 | Rank:115 漏洞数:22)

    @天行健 我的都半个月了还没过的亲,而且还不是struts。习惯就好。