当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2011-03130
漏洞标题：
天涯分站proxool池信息暴露
相关厂商：
天涯
漏洞作者：
piaoye
提交时间：
2011-10-27 22:03
修复时间：
2011-10-27 22:12
公开时间：
2011-10-27 22:12
漏洞类型：
重要敏感信息泄露
危害等级：
低
自评Rank：
5
漏洞状态：
未联系到厂商或者厂商积极忽略
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2011-10-27： 积极联系厂商并且等待厂商认领中，细节不对外公开
2011-10-27： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

proxool池信息暴露

详细说明：

没对proxool合理配置，导致proxool连接池信息泄露。

漏洞证明：

http://xsl.tianya.cn/admin?alias=dbread&tab=definition

修复方案：

配置web.xml

<security-constraint>  
  <web-resource-collection>  
      <web-resource-name>proxool</web-resource-name>   
      <url-pattern>/admin</url-pattern>  
  </web-resource-collection>  
  <auth-constraint>  
     <role-name>manager</role-name>   
     </auth-constraint>  
  </security-constraint>  
 <login-config>  
     <auth-method>BASIC</auth-method>   
     <realm-name>proxool manager Application</realm-name>   
  </login-config>  
  <security-role>  
    <description>The role that is required to log in to the Manager Application</description>   
     <role-name>manager</role-name>   
 </security-role>  
  <error-page>  
    <error-code>401</error-code>  
    <location>/401.jsp</location>  
  </error-page>  
</web-app>


详细参考http://sunnylocus.iteye.com/blog/359570

版权声明：转载请注明来源 piaoye@乌云

>

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞Rank：3 (WooYun评价)