Open WebMail vacation.pl远程命令执行漏洞

发布日期：2004-06-30
更新日期：2004-07-05

受影响系统：

Open Webmail Open Webmail 2.32
Open Webmail Open Webmail 2.31
Open Webmail Open Webmail 2.30
Open Webmail Open Webmail 2.21
Open Webmail Open Webmail 2.20
Open Webmail Open Webmail 1.90
Open Webmail Open Webmail 1.81
Open Webmail Open Webmail 1.8
Open Webmail Open Webmail 1.71
Open Webmail Open Webmail 1.7

描述：

---

BUGTRAQ ID: 10637
CVE(CAN) ID: CVE-2004-2284

Open Webmail是一款开放源代码基于WEB的MAIL系统。

Open Webmail的vacation.pl对用户提交参数缺少充分检查，远程攻击者可以利用这个漏洞以Web进程权限在系统上执行任意命令。

vacation.pl是Open WebMail中自动回复的脚本，接收列表文件名参数时对文件是否存在没有检查，利用此问题可能以Web进程权限调用系统上任意程序。

<*来源：vendor

链接：http://sourceforge.net/forum/message.php?msg_id=2640281
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 删除/usr/local/bin/vacation.pl或openwebmail.conf.default中更改vacation.pl路径。

厂商补丁：

Open Webmail
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://openwebmail.org/openwebmail/download/cert/patches/SA-04:04/vacation.pl.patch

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有