搜索

[1575] 2019-06-14_关于Coremail邮件系统存在配置信息泄露漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-16
2019-06-14_关于Coremail邮件系统存在配置信息泄露漏洞的安全公告 关 于 C o r e m a i l 邮 件 系 统 存 在 配 置 信 息 泄 露 漏 洞 的 安 全 公 告 原 创   C N V D   C N V D 漏 洞 平 台   2 0 1 9 - 0 6 - 1 4 安 全 公 告 编 号 :   C N T A - 2 0 1 9 - 0 0 2 0 2 0 1 9 年 5 月 2 2 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 由 北 京 天 融 信 网 络 安 全 技 术 有 限 公 司 报 送 的 C o r e m a i l 邮 件 系 统 配 置 信 息 泄 露 漏 洞 （ C N V D - 2 0 1 9 - 1 6 7 9 8 ） 。 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 的 情 况 下 获 取 敏 感 配 置 文 件 信 息 。 目 前 ， 漏 洞 相 关 细 节 和 验 证 代 码 已 公 开 ， 厂 商 已 发 布 补 丁 进 行 修 复 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 C o r e m a i l 邮 件 系 统 是 论 客 科 技 （ 广 州 ） 有 限 公 司 （ 以 下 简 称 论 客 公 司 ） 自 主 研 发 的 大 型 企 业 邮 件 系 统 ， 为 客 户 提 供 电 子 邮 件 整 体 技 术 解 决 方 案 及 企 业 邮 局 运 营 服 务 。 C o r e m a i l 邮 件 系 统 作 为 我 国 第 一 套 中 文 邮 件 系 统 ， 客 户 范 围 涵 盖 党 政 机 关 、 高 校 、 知 名 企 业 以 及 能 源 、 电 力 、 金 融 等 重 要 行 业 单 位 ， 在 我 国 境 内 应 用 较 为 广 泛 。 2 0 1 9 年 5 月 2 2 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 由 北 京 天 融 信 网 络 安 全 技 术 有 限 公 司 报 送 的 C o r e m a i l 邮 件 系 统 信 息 泄 露 漏 洞 （ C N V D - 2 0 1 9 - 1 6 7 9 8 ） 。 由 于 C o r e m a i l 邮 件 系 统 的 m a i l s m s 模 块 的 参 数 大 小 写 敏 感 存 在 缺 陷 ， 使 得 攻 击 者 利 用 该 漏 洞 ， 在 未 授 权 的 情 况 下 ， 通 过 远 程 访 问 U R L 地 址 获 知 C o r e m a i l 服 务 器 的 系 统 配 置 文 件 ， 造 成 数 据 库 连 接 参 数 等 系 统 敏 感 配 置 信 息 泄 露 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 该 漏 洞 的 影 响 版 本 如 下 ： C o r e m a i l   X T   3 . 0 . 1 至 X T   5 . 0 . 9 版 本 ， X T   5 . 0 . 9 a 及 以 上 版 本 已 修 复 该 漏 洞 。 C N V D 秘 书 处 对 C o r e m a i l 服 务 在 我 国 境 内 的 分 布 情 况 进 行 统 计 ， 结 果 显 示 我 国 境 内 的 C o r e m a i l 服 务 器 数 量 约 为 3 . 7 万 （ 根 据 I P 端 口 统 计 ） 。 综 合 C N V D 技 术 支 撑 单 位 报 送 、 白 帽 子 报 送 、 C N V D 秘 书 处 主 动 探 测 的 结 果 显 示 ， 我 国 境 内 共 有 1 4 8 4 台 服 务 器 受 此 漏 洞 影 响 ， 影 响 比 例 约 为 4 . 0 % 。 按 受 影 响 行 业 进 行 统 计 ， 高 校 占 比 较 高 。 我 平 台 已 将 探 测 结 果 与 论 客 公 司 共 享 ， 协 助 其 开 展 用 户 侧 修 复 相 关 工 作 。 三 、 漏 洞 处 置 建 议 三 、 漏 洞 处 置 建 议 目 前 ， 论 客 公 司 已 发 布 补 丁 进 行 修 复 ， 针 对 C o r e m a i l   X T 5 和 C o r e m a i l   X T 3 / C M 5 版 本 ， 补 丁 编 号 为 C M X T 5 - 2 0 1 9 - 0 0 0 2 ， 程 序 版 本 1 . 1 . 0 - a l p h a b u i l d 2 0 1 9 0 5 2 4 ( 3 8 1 3 d 2 7 3 ) 。 如 已 安 装 的 程 序 包 的 版 本 号 日 期 早 于 2 0 1 9 0 5 2 4 ， 建 议 用 户 及 时 更 新 补 丁 ： 用 户 可 以 在 C o r e m a i l 云 服 务 中 心 的 补 丁 管 理 模 块 ， 根 据 补 丁 编 号 下 载 并 按 照 操 作 指 引 进 行 手 动 更 新 。 如 有 疑 问 ， 也 可 通 过 4 0 0 - 8 8 8 - 2 4 8 8   或   s u p p o r t @ c o r e m a i l . c n   联 系 厂 商 售 后 人 员 提 供 协 助 。 临 时 修 补 方 法 如 下 ： 1 、 在 不 影 响 使 用 的 情 况 下 ， 仅 允 许 V P N 连 接 后 才 可 访 问 ； 2 、 在 W e b 服 务 器 （ n g i n x / a p a c h e ） 上 限 制 外 网 对   / m a i l s m s   路 径 的 访 问 。 建 议 使 用 C o r e m a i l 构 建 邮 件 服 务 器 的 信 息 系 统 运 营 者 立 即 自 查 ， 发 现 存 在 漏 洞 后 及 时 修 复 。 感 谢 C N V D 技 术 （ 用 户 ） 组 成 员 单 位 — — 北 京 天 融 信 网 络 安 全 技 术 有 限 公 司 、 论 客 科 技 （ 广 州 ） 有 限 公 司 为 本 报 告 提 供 的 技 术 支 持 。 感 谢 北 京 知 道 创 宇 信 息 技 术 股 份 有 限 公 司 、 天 津 市 国 瑞 数 码 安 全 系 统 股 份 有 限 公 司 （ 零 点 实 验 室 ） 为 本 报 告 提 供 的 数 据 支 持 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理