Remote code execute some bkav server (user root)

Gần đây, mình đã report lỗ hổng có thể remote code execute cho bkav thông qua chương trình bug bounty.
Lỗ hổng 1day trên một nền tảng lập trình phổ biến, khá hay cũng không phải quá khó để viết mã khai thác.
Lỗ hổng ảnh hưởng ít nhất đến những server sau:
1. store.bkav.com.vn (user root chắc vì tomcat cần listen port 80)
2. egate.vn
3. smarthome.com.vn
4. eoffice.com.vn
5. tuyendung.bkav.com.vn
6. khophanmem.vn
….
Mình nghĩ nó còn ảnh hướng đến nhiều website khác nữa vì mình để ý hầu hết website của bkav cùng phát triển trên một nền tảng lập trình giống giau. Mình đã viết mail để hỏi về việc public thông tin chi tiết lỗ hổng. Nhưng hiện tại chưa thấy bkav team trả lời lại.
Những lỗ hổng như này sẽ thường gặp, bởi vì nhiều website được phát triển từ lâu, sử dụng những nền tảng cũ. Khi đánh giá an toàn thông tin thì người đánh giá chỉ kiểm tra mã nguồn do đội phát triển code mà không kiểm tra các lỗ hổng của nền tảng lập trình đó hoặc bỏ qua vì tác giả không public mã khai thác dẫn tới thiếu sót nghiêm trọng. Mình đoán vậy vì lỗ hổng này tuổi đời ít nhất 4 năm.
Còn kết quả mình report:
Screenshot from 2017-04-17 11-32-30