【漏洞预警】Coremail 多版本配置文件读取漏洞
  

SANGFOR_智安全 5856

{{ttag.title}}
本帖最后由 某公司_智安全 于 2019-6-18 12:48 编辑


在2019年6月14日,Coremail 配置文件读取漏洞PoC爆出,经过某公司安全研究员验证分析,发现利用该漏洞能够读取Coremail 邮件服务器敏感配置文件,配置文件中包括邮件服务存储路径、数据库连接地址、账号以及密码等敏感信息,该漏洞危害较大,影响较广。
漏洞名称:Coremail 多版本配置文件读取漏洞
威胁等级:高危
影响范围:Coremail 多版本
漏洞类型:信息泄露
利用难度:简单



Coremail组件介绍


Coremail产品诞生于1999年,经过二十多年发展,Coremail的客户众多。是目前国内拥有邮箱使用用户最多的邮件系统。Coremail今天不但为网易(126、163、yeah)、移动,联通等知名运营商提供电子邮件整体技术解决方案及企业邮局运营服务,还为石油、钢铁、电力、政府、金融、教育、尖端制造企业等用户提供邮件系统软件和反垃圾服务。

Coremail大规模电子邮件系统,是拥有自主知识产权的专业邮件软件产品,在中国大陆地区拥有10亿终端用户,为163,139等超大型运营商提供邮件底层完整支持,同时也为某公司、某公司、某公司、某公司 、某公司、某公司、某公司、美的集团、宝钢集团、某公司等政府、科教、500强企业客户等提供邮件系统整体解决方案,是中国用户实际使用最广泛,最频繁的邮件系统。Coremail也是中国反垃圾邮件中心的技术战略合作伙伴,为中国用户使用健康邮箱提供全面的技术保障。



漏洞描述


攻击者可以通过该漏洞访问固定的url地址,然后可以查看到coremail的敏感配置文件内容。该访问路径为


  1. <font size="3" face="微软雅黑">/mailsms/s?func=ADMIN:appState&dumpConfig=/</font>
复制代码

利用该漏洞能够读取Coremail 邮件服务器敏感配置文件,配置文件中包括邮件服务存储路径、数据库连接地址、账号以及密码等敏感信息,使服务器处于高度风险之中,所以该漏洞危害较大,影响较广。



漏洞复现


通过在Coremail测试服务器中访问


  1. <font size="3" face="微软雅黑">“/mailsms/s?func=ADMIN:appState&dumpConfig=/”</font>
复制代码

即可访问敏感的配置文件。
34945d086c6a19933.png
影响范围

目前据FOFA数据统计,在全球范围内对互联网开放Coremail的资产数量达18511台,其中归属中国地区的受影响Coremail资产数量为16700台以上。

影响产品:Coremail XT 3.0.1至XT 5.0.9版本,XT 5.0.9a及以上版本补丁程序。

某公司产品解决方案

某公司安全云在漏洞爆发之初,已完成检测更新,对所有用户网站探测,保障用户安全。不清楚自身业务是否存在漏洞的用户,可注册信服云眼账号,获取30天免费安全体验。

注册地址:http://saas.sangfor.com.cn

某公司云镜在漏洞爆发的第一时间就完成从云端下发本地检测更新,部署云镜的用户只需选择紧急漏洞检测,即可轻松、快速检测此高危风险。

某公司下一代防火墙可轻松防御此漏洞,建议部署某公司下一代防火墙的用户更新至IPS 20190614版本,可轻松抵御此高危风险。

某公司云盾已第一时间从云端自动更新防护规则,云盾用户无需操作,即可轻松、快速防御此高危风险。



修复建议


Coremail公司已发布针对Coremail XT5和Coremail XT3/CM5版本的修复补丁,补丁编号为CMXT5-2019-0002,补丁版本1.1.0-alphabuild20190524(3813d273),客户可在Coremail云服务中心的补丁库里根据补丁编号进行手动升级或者联系Coremail客服进行升级。

临时解决措施:
客户可根据业务需求暂时在web服务器中禁止外网访问 /mailsms路径。



时间轴


2019/06/14   
网上流传Coremail 多版本配置文件攻击数据
2019/06/14   
某公司千里目安全实验室完成复现分析并发布预警以及解决方案

打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

发表新帖
热门标签
全部标签>
每日一问
技术盲盒
技术笔记
每周精选
干货满满
技术咨询
信服课堂视频
标准化排查
产品连连看
新版本体验
安装部署配置
功能体验
秒懂零信任
自助服务平台操作指引
GIF动图学习
2023技术争霸赛专题
通用技术
玩转零信任
技术晨报
社区帮助指南
安全攻防
每日一记
天逸直播
华北区交付直播
深信服技术支持平台
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
上网策略
测试报告
日志审计
问题分析处理
流量管理
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
答题榜单公布
纪元平台
卧龙计划
华北区拉练
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV

本版达人

SANGFOR...

本周分享达人