Majordomo Config-file admin_password配置存在漏洞发布时间：2000-12-11 更新时间：2000-12-11 严重程度：中 威胁程度：权限提升 错误类型：配置错误 利用方式：服务器模式 受影响系统 Great Circle Associates Majordomo 1.94.5详细描述 Majodomo是一个流行的EMAIL邮件列表程序，其中在认证系统中存在一个普通 配置问题可以导致远程用户执行任意管理员命令。 Majordomo认证列表管理使用每次管理员命令发布时使用密码，在认证过程中， 提供密码会对比列表配置文件中的admin_password选项中的值，如果两者 匹配，管理员认证和命令被执行，如果不匹配，MAJORDOMO会打开列表目录中 的文件，文件名格式为："listname.passwd", 这里的listname是当前列表名字， 密码从这些文件里读取。大多数majordomo设置和安全指南中指示用户配置MAJORDOMO 的时候没有设置一个真实的密码作为admin_pasword，而分配要被打开的包含密码 的文件名一值，如果这个设置了，文件名作为admin_passwd的值就变为合法的密码 和作为管理员认证使用。如果系统照上面的方法配置，恶意用户可以猜测文件名而 成功执行管理员命令。 测试代码 尚无 解决方案 尚无 相关信息 |
