ArGoSoft Mail Server远程目录遍历漏洞

漏洞信息详情

ArGoSoft Mail Server远程目录遍历漏洞

• CNNVD编号：CNNVD-200210-179
• 危害等级： 中危
  
  
• CVE编号：
  CVE-2002-1004
  
• 漏洞类型：
  
  
  未知
  
• 发布时间：
  
  2002-07-03
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2006-09-27
  
• 厂        商：
  
  argosoft
• 漏洞来源：
  nfinity※ nfinity@g…

ArGoSoft Mail Server是一款集成SMTP、POP3和Fingerd服务的系统，包含WEB服务程序可使远程用户通过WEB访问邮件，使用在Microsoft Windows操作系统下。
ArGoSoft Mail Server的WEB服务对用户提交的URL请求缺少正确的过滤，远程攻击者可以利用这个漏洞进行目录遍历攻击。
由于WEBMAIL服务器没有检查反向目录遍历，攻击者可以利用请求图象或者合法用户附件的方法，提交包含多个\’\’/..\’\’字符并追加要查看的系统文件名，可导致以WEBMAIL服务进程的权限查看请求的任意系统文件内容。
此漏洞重现在ArGoSoft Mail Server 1.8.1.5版本中，其他版本也可能受这个漏洞影响。

厂商补丁：
ArGoSoft
——–
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

升级到1.8.1.6版本：

ArGoSoft Mail Server Plus 1.8 .1.5:

ArGoSoft Upgrade msplus

http://www.argosoft.com/files/apps/msplus.exe” target=”_blank”>
http://www.argosoft.com/files/apps/msplus.exe

ArGoSoft Mail Server Pro 1.8 .1.5:

ArGoSoft Upgrade mspro

http://www.argosoft.com/files/apps/mspro.exe” target=”_blank”>
http://www.argosoft.com/files/apps/mspro.exe

来源: BID
名称: 5144
链接:http://www.securityfocus.com/bid/5144

来源: XF
名称: argosoft-dotdot-directory-traversal(9477)
链接:http://www.iss.net/security_center/static/9477.php

来源: www.argosoft.com
链接:http://www.argosoft.com/applications/mailserver/changelist.asp

来源: BUGTRAQ
名称: 20020703 Argosoft Mail Server Plus/Pro Webmail Reverse Directory Traversal
链接:http://archives.neohapsis.com/archives/bugtraq/2002-07/0029.html