趋势科技电子邮件加密网关曝多项安全漏洞
2018-06-11 来源：
外媒 2 月 25 日消息，Core Security 发现趋势科技基于 Linux 的电子邮件加密网关的 Web 控制台中存在多个安全漏洞（ CVE-2018-6219 ~ CVE-2018-6230），其中一些被评为严重等级的漏洞能够允许未经身份验证的远程攻击者以root权限执行任意命令。目前受影响的软件包是趋势科技电子邮件加密网关 5.5 （Build 1111.00）及更早版本。
在这些漏洞中，最严重的是 CVE-2018-6223，可能会被本地或远程攻击者利用来获得目标设备的 root 权限，以便于执行任意命令。目前来说，该漏洞与设备注册时缺少身份验证有关。
具体细节为：管理员在部署过程中需要通过注册端点配置运行电子邮件加密网关的虚拟设备， 于是攻击者可以利用该漏洞在没有身份验证的情况下访问端点，以设置管理员凭据并对配置进行其他更改，比如管理员用户名和密码等。
据悉，Core Security 还发现了两个严重的跨站脚本攻击（XSS）漏洞，一个可导致命令执行的任意文件写入问题，另一个则导致命令执行的任意日志文件位置以及未验证的软件更新。除此之外，趋势科技的电子邮件加密网关也包括了 SQL 和 XML 外部实体（XXE）注入等漏洞。
目前趋势科技确认，由于实施修复程序的困难，中等严重性 CSRF 问题和低严重性 SQL 注入漏洞尚未得到修补。
消息来源：Security Affairs
转自 HackerNews.cc
标签： linux 安全 电子邮件 脚本 漏洞 权限 问题 用户
版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点！
本站所提供的图片等素材，版权归原作者所有，如需使用，请与原作者联系。
