某制药企业网络暴漏,可导致渗透内网,机密泄露

漏洞概要

缺陷编号:WooYun-2012-06259

漏洞标题:某制药企业网络暴漏,可导致渗透内网,机密泄露

相关厂商:西安力邦

漏洞作者:Valo洛洛

提交时间:2012-04-22 11:20

公开时间:2012-06-06 11:21

漏洞类型:重要敏感信息泄露

危害等级:中

自评Rank:10

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2012-04-22: 积极联系厂商并且等待厂商认领中,细节不对外公开
2012-06-06: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

某制药企业网络暴漏,可导致渗透内网,机密泄露。

详细说明:

陕西省力邦企业的制药网站存在注入http://www.libang.com.cn/qyywx.php?news_id=50%20and%201=2%20union%20select%201,2,user(),database(),5,6,7,8,9,version(),11,12可获得企业制药网站主页员工之家的某个账号,可是这个员工的员工之家账号与他的内部邮箱账号密码一样,导致进入其内部邮箱。

刚好这个人可能是企业网络管理员,由于这个管理员的好习惯,把整个企业的内网结构及配置保存到了邮箱中,造成了信息泄露。

被某些有心人利用,可造成企业内部机密药方泄露,造成不必要的损失。主页上的对外网开放的平台,也可遭到攻击利用。

漏洞证明:

这个邮件中的内容还是比较全面的

无法上传该信息表为附件。如果需要,请站短我索要。

修复方案:

加强员工安全意识,重要的工作平台与外网隔断。

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:13 (WooYun评价)

评价

  1. 2010-01-01 00:00 Valo洛洛 白帽子 | Rank:428 漏洞数:50)

    @xsser 亲,这个跟楼下高铁那个不属于cncert处理范畴么