CMailServer WebMail 多个漏洞

xjjj

好好利用一下

闪乐

CMail是一个比较不错的邮件服务端软件
受影响系统
CMailServer 4.x
CMailServer 5.x < CMailServer 5.2.1所有版本
未影响系统
CMailServer 5.2.1
详细描述
Tan Chew Keong 发现CMailServer存在多个漏洞，这些漏洞可以被恶意用户利用
引导SQL注入并插入脚本攻击从而威胁到系统。

1）一个边界错误在CMailServer的ActiveX 插入到\"CMailCOM.dll\"，在“download.asp”页面中通过“ur10fAttach”提交一个超常文件名，导致缓冲区溢出。


2）在SQL查询之前，在\"fdelmail.asp\"和\"addressc.asp\"页面中输入以被传递给\"indexOfMail\"的参数并没有正确的检查。利用该漏洞注入任意的sql代码从而操纵数据库查询。

3）传递给\"setpersoninfo.asp\"的参数并没有正确的检查。该漏洞被用来插入任意的超文本和脚本代码，恶意的用户浏览admin.asp的时候，由于已经插入了html和脚步代码，这些代码以管理员的session执行。

CMailServer 5.2版以被证实存在多个漏洞，其他版本的也可能存在这样的漏洞。

测试代码
1）http://[hostname]/mail/download.asp?urlOfAttach=/maildata/A..[approx 290 bytes]..A  
  sprintf(buffer, \"%s%s\", \"C:\\\\CMAILS~1\", \"/maildata/A....A\");
2）sql = \"delete from mailfolder where account= &#39;\" & Session(\"Account\") & \"&#39; and uid = &#39;\" & arrString(i) & \"&#39;\"
  indexOfMail=user2.xxx.yyy.com.cmailserver.3&#39; or &#39;1&#39;=&#39;1;
3）strSql = \"delete from address where account= &#39;\" & Session(\"Account\") & \"&#39; and addressid = \" & arrString(nI)
  indexOfMail=5 or 1=1;
  For example, the user may set his name to <script>alert(&#39;XSS&#39;);</script>

解决方案
升级到5.2.1版
http://www.youngzsoft.net/cmailserver/email-server-download.htm