漏洞信息详情
FormMail HTTP_REFERER变量可欺骗漏洞
- CNNVD编号:CNNVD-200212-498
- 危害等级: 高危
- CVE编号: CVE-2002-2109
- 漏洞类型: 设计错误
- 发布时间: 2002-01-23
- 威胁类型: 远程
- 更新时间: 2006-01-26
- 厂 商: matt_wright
- 漏洞来源: Ronald F. Guilmett...
漏洞简介
FormMail是一款使用广泛的基于WEB的邮件网关,允许基于表单输入邮寄个指定用户。它是用perl写的,可以运行于大多数的Linux/Unix,以及Microsoft Windows等多种系统平台。 FormMail依靠HTTP_REFERER变量来建立用户的识别,伪造HTTP_REFERER头信息可以绕过认证机制。而伪造HTTP_REFERER头信息对远程攻击者来说是非常容易的。 远程攻击者可以利用这漏洞做很多事情,比如伪造CGI变量来使用FormMail滥发匿名邮件等等。
漏洞公告
临时解决方法: 如果您不能立刻安装补丁或者升级,CNNVD建议您采取以下措施以降低威胁:
* 如果只是在小范围使用此程序,设置Web认证,确信只有合法用户才能使用。 厂商补丁: Matt Wright ----------- 目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
http://www.worldwidemart.com/scripts/formmail.sHTML
参考网址
来源: BUGTRAQ 名称: 20020123 Anonymous Mail Forwarding Vulnerabilities in FormMail 1.9 链接:http://archives.neohapsis.com/archives/bugtraq/2002-01/0307.HTML 来源: BID 名称: 3954 链接:http://www.securityfocus.com/bid/3954 来源: XF 名称: formmail-referer-header-spoof(8012) 链接:http://www.iss.net/security_center/static/8012.php 来源: worldwidemart.com 链接:http://worldwidemart.com/scripts/formmail.sHTML 来源:NSFOCUS 名称:2217 链接:http://www.nsfocus.net/vulndb/2217
受影响实体
- Matt_wright Formmail:1.0
- Matt_wright Formmail:1.1
- Matt_wright Formmail:1.2
- Matt_wright Formmail:1.3
- Matt_wright Formmail:1.4
补丁
暂无
评论