Coremail服务未授权接见和服务接口参数注入缝隙安全公告

颁布功夫 2019-06-19

缝隙编号和级别


CVE编号：暂无，，，危险级别：高危，，，CVSS分值：官方未评定


影响版本


受影响的版本

合用于Coremail XT 3.0.4至 XT 5.0.8A版本。


缝隙概述


Coremail邮件系统是论客科技（昭通）有限公司（以下简称论客公司）自主研发的大型企业邮件系统，，，Coremail不只为网易（126、、163、、yeah）、、移动，，，联通等驰名运营商提供电子邮件整体技术解决规划及企业邮局运营服务，，，还为石油、、钢铁、、电力、、当局、、金融、、教育、、尖端制作企业等用户提供邮件系统软件和反垃圾服务。


Coremail邮件系统存在服务未授权接见缝隙（CNVD-C-2019-78549）和服务接口参数注入缝隙（CNVD-C-2019-78550）。Coremail邮件系统apiws�？？？樯系牟棵臰ebService服务存在接见战术缺点和某API服务参数存在注入缺点，，，使得攻击者综合利用上述缝隙，，，在未授权的情况下远程接见Coremail部门服务接口，，，通过参数机关注入进行文件操作。


缝隙验证


暂无POC/EXP。


修复建议


目前，，，论客公司已颁布补丁进行修复：


1、、针对Coremail XT3/CM5版本，，，补丁编号为CMXT3-2019-0001，，，法式版本号XT3.0.8 dev build 20190610(cb3344cf)；
2、、针对Coremail XT5，，，补丁编号为CMXT5-2019-0001，，，法式版本号XT5.0.9a build 20190604(696d1518)。
如已装置的法式包的版本号日期早于20190604，，，建议用户实时更新补��：用户能够在Coremail云服务中心的补丁治理�？？？�，，，凭据补丁编号下载并依照操作指引进行手动更新。
一时修补规划如下：
1、、在不影响正常使用的情况下，，，通过部署VPN服务限度对Coremail服务器的公网接见；
2、、在Web服务器（nginx/apache）上限度外网对 /apiws 蹊径的接见。

建议使用Coremail产品构建邮件服务的信息系统运营者，，，立即自检，，，发现存在缝隙实时修复。


参考链接


 https://mp.weixin.qq.com/s/cU4wSGQ_dNSoOk0VjEJffA