[公开漏洞]GOLDWEB路由口令暴露加命令执行
-
来源:WooYun 浏览:719次 时间:2014-06-12
GOLDWEB路由口令暴露加命令执行
相关厂商:
深圳市兰丁科技有限公司
漏洞作者:sipcer
提交时间:2014-03-12 22:27
公开时间:2014-06-10 22:27
漏洞类型:设计不当
危害等级:高
自评Rank:20
漏洞状态:
已交由第三方厂商(cncert国家互联网应急中心)处理
漏洞来源:http://www.wooyun.org
Tags标签:
路由安全
漏洞详情
披露状态:
2014-03-12:细节已通知厂商并且等待厂商处理中
2014-03-18:厂商已经确认,细节仅向厂商公开
2014-03-21:细节向第三方安全合作伙伴开放
2014-03-28:细节向核心白帽子及相关领域专家公开
2014-04-07:细节向普通白帽子公开
2014-04-27:细节向实习白帽子公开
2014-06-10:细节向公众公开
GOLDWEB路由器登录密码泄露和命令执行
详细说明:1.路由器登录通过javascript判断,可以绕过
2.路由器某功能存在命令执行
详见证明
1.登录界面如下
2.查看源代码,可以看到登录是通过javascript验证,m_username和m_password
3.系统工具-->诊断工具存在命令执行
修复方案:
去除js中的信息,诊断工具判断输入
版权声明:转载请注明来源 sipcer@乌云 漏洞回应 厂商回应:危害等级:高
漏洞Rank:15
确认时间:2014-03-18 10:42
厂商回复:至3月17日,尚未能直接在实例上确认,商请白帽子提供有用的特征信息,以便确认通用性和全面处置。先行确认所述案例情况。
最新状态:暂无
上一篇: 盛大某游戏分站存在SQL注入漏洞下载
下一篇: 迅雷白金会员账号6月5号下载