linda

漏洞概要
缺陷编号：        WooYun-2014-60835
漏洞标题：        启明天镜漏洞扫描器任意文件下载漏洞
相关厂商：        北京启明星辰信息安全技术有限公司漏洞作者：        kicks
提交时间：        2014-05-15 13:46
公开时间：        2014-08-13 13:48
漏洞类型：        设计不当
危害等级：        高
自评Rank：        15
漏洞状态：        厂商已经确认
漏洞来源：        http://www.wooyun.org
Tags标签： 设计不当

漏洞详情披露状态：
2014-05-15：        细节已通知厂商并且等待厂商处理中
2014-05-15：        厂商已经确认，细节仅向厂商公开
2014-05-18：        细节向第三方安全合作伙伴开放
2014-05-25：        细节向核心白帽子及相关领域专家公开
2014-06-04：        细节向普通白帽子公开
2014-06-24：        细节向实习白帽子公开
2014-08-13：        细节向公众公开

简要描述：作为一款漏洞扫描器，自己的安全也很重要嘛，被人山寨了多不好。
详细说明：记不清几年前了用过一次启明星辰的天镜扫描器，那会只是个软件，现在居然也做成了铁盒子用上了B/S架构（国内都喜欢玩盒子，其实厂家是希望我们做安全的没事多搬搬设备锻炼个好身体，不过我比较懒还是觉得nessus软件形式的用起来方便）

大概看了一下产品做得还是比较粗糙的，不知道是不是走的俄罗斯粗犷但实用路线。发现一处任意文件下载问题，我本来只想用用没想找漏洞，但是太明显了，扫一眼就看到了。
漏洞证明：https://x.x.o.o/download/export.action?downloadForm.toolPosition=/WEB-INF/classes/jdbc.properties








修复方案：都知道就不再啰嗦了。
版权声明：转载请注明来源 kicks@乌云

漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2014-05-15 15:48
厂商回复：非常感谢kicks大牛为我们发现了这个安全问题。也感谢您对我们产品的评价和指导。
我们将会尽快在产品升级包修正问题并公布修正方法。

需要说明一下，该漏洞要使用必须在任意用户已经登入产品的情况下才存在,而且我们的配置文件里重要信息也做了简单的加密。但依然是我们的一个疏忽导致这个问题存在，感谢漏洞作者提醒。也感谢乌云君及时的通知我们。

最新状态：2014-05-16：我们已经在24小时内发布了紧急升级patch。请天镜用户用在线更新功能更新升级包6000350。即6.0.3.50的漏洞库版本，即可修复此问题。 再次对kicks和乌云表示感谢。 也请广大天镜用户放心，该漏洞需要登录系统后才能利用，并且能下载到的文件不含机密信息。 修复方案： 使用自动升级功能升级天镜到最新的漏洞库6000350。 或者下载升级包离线升级： http://www.venustech.com.cn/DownFile/466/

原文：http://www.wooyun.org/bugs/wooyun-2010-060835

[ 本帖最后由 linda 于 2016-2-3 17:51 编辑 ]