COM2001 的Alexis/InternetPBX 存在安全漏洞发布时间：2001-09-29 更新时间：2001-09-29 严重程度：高 威胁程度：口令恢复 错误类型：设计错误 利用方式：服务器模式 受影响系统 Alexis Server v2.1 -COM 2001详细描述 COM2001的InternetPBX产品提供语音MAIL服务，其中存在2个漏洞： 1)Alexis是WINDOWS NT/2000下基于EXCHANGE的电话系统，其中语音MAIL密码 以明文方式存储在NT或者W2K下的ROOT目录下，名为com2001.ini。 2)"Alexis Server"存在WEB访问接口连接到EXCHANGE OWA上，在用户登陆时候会 询问用户密码，并使用了SSL加密，不过alesix web访问工具栏开启了java applet 来连接到服务端的8888端口，而这个传递用户名和密码是以明文方式的，所以 通过sniff的功能工具可以获得这些明文密码。 测试代码 见描述部分 解决方案 对COM2001.ini进行权限设置 并对Alexis端口8888进行过滤。 相关信息 Clint Byrum (cbyrum@erp.com) |
