中華資安國際發現CVE弱點, C&Cmail 電子郵件系統 CCMAILQ 具有多項漏洞

風險等級: 高度威脅
摘 要: 【弱點說明】中華資安國際發現CVE弱點, C&Cmail 電子郵件系統 CCMAILQ 具有多項漏洞,建議盡快評估修補更新!

【影響範圍】

  • CCMAILQ 電子郵件系統

【細節描述】

中華資安國際Red Team團隊發現,知名電子郵件系統CCMAILQ 具有多項漏洞。
CVE-2020-5540:攻擊者可在不經過任何身分認證情況下,進行跨網站腳本攻擊,郵件系統多個版本都存在此漏洞,此漏洞可歸類於OWASP TOP 10 2017之A7 – Cross-Site Scripting(XSS)類型中。
CVE-2020-5541:攻擊者可在不經過任何身分認證情況下,進行未經驗證的轉址與導向,郵件系統多個版本都存在此漏洞,此漏洞可歸類於CWE-601: URL Redirection to Untrusted Site (Open Redirect)類型中。
CVE-2020-10511:攻擊者可在不經過任何身分認證情況下,直接利用管理者權限進行指令注入攻擊,進而取得目標主機控制權。此漏洞可歸類於OWASP TOP 10 2017之A2-Broken Authentication類型中。
CVE-2020-10512:攻擊者可讀出完整資料庫表單,取得其他user帳密進行登入,影響系統機密性,登入後可修改user密碼,影響系統完整性。此漏洞可歸類於OWASP TOP 10 2017之A1 – Injection類型中。

【建議措施】

開發廠商接獲通報後已配合儘速釋出相關更新,若機關或企業有使用電子郵件系統者,建議儘快聯繫廠商進行修補更新。
中華資安國際建議採取以下防範措施:
1. 使用者:聯繫廠商盡速安裝修補更新檔。
2. 郵件系統開發商:在程式開發過程中應針對輸入參數做檢查。
3.郵件系統開發商:建議導入安全程式開發流程(SSDLC)、事前進行安全程式碼開發教育訓練,並定期執行源碼檢測及滲透測試等安全檢測,才能有效地確保產品及用戶安全。

參考資訊: CVE-2020-5540
CVE-2020-5541
CVE-2020-10511
CVE-2020-10512

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *