中神通公司技术论坛 - Powered by Discuz! Board

标题: 深信服内部邮箱泄露 [打印本页]

作者: linda 时间: 2014-12-30 16:08 标题: 深信服内部邮箱泄露

漏洞概要
缺陷编号：       WooYun-2014-75402
漏洞标题：       深信服内部邮箱泄露
相关厂商：       深信服
漏洞作者：       if、so

提交时间：       2014-09-07 23:14
公开时间：       2014-10-22 23:16
漏洞类型：       内部绝密信息泄漏
危害等级：       高
自评Rank：       15
漏洞状态：       厂商已经确认
漏洞来源：       http://www.wooyun.org
Tags标签：    渗透测试思路安全意识不足内部敏感信息泄漏渗透测试思路安全意识不足

漏洞详情披露状态：
2014-09-07：       细节已通知厂商并且等待厂商处理中
2014-09-09：       厂商已经确认，细节仅向厂商公开
2014-09-19：       细节向核心白帽子及相关领域专家公开
2014-09-29：       细节向普通白帽子公开
2014-10-09：       细节向实习白帽子公开
2014-10-22：       细节向公众公开

简要描述：深信服内部邮箱泄露，反映的不是不仅仅是一个邮箱泄露，更是安全机制缺陷的暴露
详细说明：放假无聊，做点检测。无意中看到了深信服厂商，看其历史漏洞时，发现深信服使用的是extmail邮件系统，在我印象中extmail是没有账号过期策略的，即存在被互联网泄露账号撞库风险。

访问mail.sangfor.com却是一个论坛，不是mail登陆口，但是换汤不换药，本质改变不了。

code 区域telnet mail.sangfor.com 25 143 110

都能成功连接，说明邮件服务器就是mail.sangfor.com，只不过把webmail取消部署了。

开始大数据搜索，成功搜索到一个匹配账号密码

code 区域[email protected] kissmylove

使用客户端连接配置连接，进去鸟！

公司内部信息和客户信息泄露

贵公司以为撤销webmail就能规避外部非授权访问，那就想错了。

要想解决这个问题，可以采用支持AD域验证的邮件系统如exchange，然后配合一个self-service的自助修改域账号的系统，采取定期密码过期的策略，这样就能规避被撞库风险。

漏洞证明：

采取什么样合理的安全机制和策略值得思考
修复方案：。。
版权声明：转载请注明来源 if、so@乌云

漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2014-09-09 16:51
厂商回复：感谢白帽子提出的问题及第一时间协助我们解决问题。

经确认，我们的邮箱系统密码管理策略确实需要加强，IT部门会尽快完成密码控制策略的完善，同时强制要求用户定期修改密码。

请白帽子私信留下联系方式，我们送出的小礼品会飞速送出！
最新状态：暂无

原文：http://www.wooyun.org/bugs/wooyun-2014-075402

欢迎光临中神通公司技术论坛 (http://trustcomputing.com.cn/bbs/)