迅雷某分站业务数据库未授权访问(涉及用户信息)

漏洞详情

披露状态:

2014-03-07: 细节已通知厂商并且等待厂商处理中
2014-03-07: 厂商已经确认,细节仅向厂商公开
2014-03-17: 细节向核心白帽子及相关领域专家公开
2014-03-27: 细节向普通白帽子公开
2014-04-06: 细节向实习白帽子公开
2014-04-21: 细节向公众公开

简要描述:

迅雷某分站业务数据库未授权访问(涉及用户信息)

详细说明:

迅雷看看网站 t.kankan.com的mongodb数据库存在未授权访问,未对数据库设置密码,任何人都能访问,并查看信息,涉及将近4000万看看网站的用户信息,并泄露网站其他相关服务器的信息.

125.39.70.93:27017

125.39.70.95:27017

漏洞证明:

QQ图片20140307155940.jpg



QQ图片20140307160053.jpg



QQ图片20140307163238.jpg

修复方案:

你懂的

版权声明:转载请注明来源 几何黑店@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2014-03-07 22:04

厂商回复:

感谢几何黑店反馈,经核实是迅雷旗下迅雷看看的一个子业务存在端口访问控制不严,导致部分相关用户信息对外展示,目前已经及时处理完毕!我们将提供白金会员给几何黑店同学以示感谢,感谢对迅雷安全的关注。

最新状态:

暂无


漏洞评价: