[公开漏洞]圆通某系统tomcat引发的“血”案(二) - 漏洞预警

圆通某系统tomcat引发的“血”案(二) 相关厂商：圆通漏洞作者：氓氓童鞋提交时间：2014-05-10 15:52 公开时间：2014-06-24 15:53 漏洞类型：系统/服务运维配置不当危害等级：高自评Rank：20 漏洞状态：厂商已经确认漏洞来源：http://www.wooyun.org Tags标签：安全意识不足 webserver服务配置不当安全意识不足漏洞详情披露状态：

2014-05-10：细节已通知厂商并且等待厂商处理中
2014-05-12：厂商已经确认，细节仅向厂商公开
2014-05-22：细节向核心白帽子及相关领域专家公开
2014-06-01：细节向普通白帽子公开
2014-06-11：细节向实习白帽子公开
2014-06-24：细节向公众公开

简要描述：

今天周末自然醒~~
想起来昨天发的有关圆通tomcat配置不当问题（详见http://www.wooyun.org/bugs/wooyun-2014-060043），突发奇想是不是别的系统也存在，毕竟是人家自主研发的系统嘛，运维配置应该是原班人马。
结果~~~
圆通~~我给你打包好了

详细说明：

圆通新龙你怎么就不知道举一反三呢？一个系统存在问题，怎么就不做个系统全面检查呢？安全方面可不要给圆通快递拖后腿哦~~~

早上的测试对象是圆通仓配一体管理平台，测试方法和漏洞情况和上次我发的一样（ WooYun: 圆通某转运系统tomcat引发的“血”案），圆通直接修复就好了，这次我就直接上图了。。。

打包URL:

圆通新龙主站http://www.ytoxl.com/manager/html tomcat tomcat

圆通仓配一体管理平台http://m2.ytoxl.com/manager/html tomcat tomcat

圆通新龙WMS系统：http://fio.ytoxl.com/manager/html tomcat tomcat

漏洞证明：

圆通新龙主站

圆通新龙WMS系统

修复方案：

同昨天修复过程,同时有必要做内部人员安全意识培训

危害等级：中

漏洞Rank：5

确认时间：2014-05-12 17:13

厂商回复：

漏洞修复中，为同一系统的重复漏洞，故给的分数略低。
谢谢对圆通信息安全的关注！