漏洞详情

披露状态:

2014-02-15: 细节已通知厂商并且等待厂商处理中
2014-02-20: 厂商已经确认,细节仅向厂商公开
2014-03-02: 细节向核心白帽子及相关领域专家公开
2014-03-12: 细节向普通白帽子公开
2014-03-22: 细节向实习白帽子公开
2014-04-01: 细节向公众公开

简要描述:

某银行业务系统漏洞,可导致全国员工邮箱账号泄露

详细说明:

通过网络泄露的数据库中查询银行员工域名邮箱可找到相关密码信息,可登陆其业务平台。

漏洞证明:

目前已知的密码泄露用户

1wang2 wang.yy(at)bankcomm.com 1wang2

winsonwbh wenbh(at)bankcomm.com 820924

xu.qh98 xu.qh(at)bankcomm.com 980120qwe

haiyuezhijia liang.ht(at)bankcomm.com asd321

chjtears 101521 chengjie(at)bankcomm.com

fyp(at)bankcomm.com ct198686

luo_jin(at)bankcomm.com 740418

whm951219,wanghm(at)bankcomm.com



为防止搜索引擎收录,公开前麻烦删除邮箱账号



26.jpg

修复方案:

加强对员工进行信息安全培训,同时建议经常修改密码。



另外还是不要用业务邮箱注册其他无关网站。

版权声明:转载请注明来源 雨路@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:11

确认时间:2014-02-20 13:55

厂商回复:

CNVD未直接复现根据社工库的测试方法,已经转由CNCERT上海分中心协调网站管理单位处置。

最新状态:

暂无


漏洞评价: