|
|
FormMail实名CGI变量可以导致匿名EMAIL发送
发布时间：2002-01-28
更新时间：2002-01-28
严重程度：中
威胁程度：欺骗
错误类型：输入验证错误
利用方式：服务器模式
BUGTRAQ ID：3955
受影响系统Matt Wright FormMail 1.0
Matt Wright FormMail 1.1
Matt Wright FormMail 1.2
Matt Wright FormMail 1.3
Matt Wright FormMail 1.4
Matt Wright FormMail 1.5
Matt Wright FormMail 1.6
- Digital (Compaq) TRU64/DIGITAL UNIX 4.0f
- FreeBSD FreeBSD 5.0
- HP HP-UX 11.04
- IBM AIX 4.3.2
- Linux kernel 2.2.x
- Linux kernel 2.3.x
- NetBSD NetBSD 1.3.3
- OpenBSD OpenBSD 2.6
- SCO Unixware 7.1.1
- SGI IRIX 6.5.6
- Sun Solaris 8.0
- Sun SunOS 4.1.4
Matt Wright FormMail 1.7
Matt Wright FormMail 1.8
Matt Wright FormMail 1.9 详细描述
FormMail 是一款基于WEB的EMAIL网关，允许基于表单输入邮寄个指定用户，运行
于多种系统平台。
其中由于缺少对EMAIL和实名CGI变量的充分检查，可以导致远程攻击者发送任意
EMAIL给用户。
通过在CC:,BCC;或者to:域中提交这些实名CGI变量可以进行匿名发送。
测试代码
见描述
解决方案
尚无
相关信息
"Ronald F. Guilmette" <rfg@monkeys.com>.
参考：http://www.securityfocus.com/archive/1/252232
相关主页：http://www.worldwidemart.com/scripts/formmail.shtml
|
