新浪sae源码泄露、svn信息泄露

漏洞概要

缺陷编号:WooYun-2012-06036

漏洞标题:新浪sae源码泄露、svn信息泄露

相关厂商:新浪

漏洞作者:路人甲

提交时间:2012-04-14 10:49

公开时间:2012-04-15 07:52

漏洞类型:重要敏感信息泄露

危害等级:中

自评Rank:5

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2012-04-14: 细节已通知厂商并且等待厂商处理中
2012-04-14: 厂商已查看当前漏洞内容,细节仅向厂商公开
2012-04-15: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

sae服务器上svn信息泄露、部分源码泄露

详细说明:

首先 os.environ

可能前面的会觉得是正常功能不算漏洞,但是os.listdir('/usr/local/sae/python/lib/python2.6/site-packages')下面所有目录svn都能读到entries

Python Path: ['/data1/www/htdocs/5**/e**/1','/usr/local/sae/python/lib/python26.zip', '/usr/local/sae/python/lib/python2.6','/usr/local/sae/python/lib/python2.6/plat-linux2', '/usr/local/sae/python/lib/python2.6/lib-tk','/usr/local/sae/python/lib/python2.6/lib-old', '/usr/local/sae/python/lib/python2.6/lib-dynload', '/usr/local/sae/python/lib/python2.6/site-packages']另外这些你们的所有模块都可以完全读出py源码,相当于完全开源了?是否考虑全部或部分只保留.pyc而非.py?这样所有源码可读如果有人用长时间研究一下是否可能找到一些漏洞?

以上所有内容是否算漏洞我也没法确定,新浪觉得呢 🙂

漏洞证明:

参考详细说明。

修复方案:

参考详细说明。

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2012-04-15 07:52

厂商回复:

不是漏洞。 这些代码是SAE上开源的开源代码,本身就允许用户读取。文中所指的泄露源代码是指的 Python的class。
Python的class放在Python目录下,允许任意SAE用户读取、调用,对SAE用户开源。所有SAE用户自己的代码没有任何泄露。

最新状态:

暂无

评价

  1. 2010-01-01 00:00 liliang13 白帽子 | Rank:3 漏洞数:1)

    额。。SAE用户飘过,重要关注

  2. 2010-01-01 00:00 我真的不帅 白帽子 | Rank:19 漏洞数:7)

    +1

  3. 2010-01-01 00:00 北北 白帽子 | Rank:25 漏洞数:5)

    svn呢?

  4. 2010-01-01 00:00 draGxn 白帽子 | Rank:35 漏洞数:4)

    python需要邀请码,咋申请?