Coremail服務未授權訪問和服務接口參數注入漏洞安全通告
發布時間 2019-06-19漏洞編號和級別
CVE編號：暫無，危險級別：高危，CVSS分值：官方未評定
影響版本
適用于Coremail XT 3.0.4至 XT 5.0.8A版本。
漏洞概述
Coremail郵件系統是論客科技（廣州）有限公司（以下簡稱論客公司）自主研發的大型企業郵件系統，Coremail不但為網易（126、163、yeah）、移動，聯通等知名運營商提供電子郵件整體技術解決方案及企業郵局運營服務，還為石油、鋼鐵、電力、政府、金融、教育、尖端制造企業等用戶提供郵件系統軟件和反垃圾服務。
Coremail郵件系統存在服務未授權訪問漏洞（CNVD-C-2019-78549）和服務接口參數注入漏洞（CNVD-C-2019-78550）。Coremail郵件系統apiws模塊上的部分WebService服務存在訪問策略缺陷和某API服務參數存在注入缺陷，使得攻擊者綜合利用上述漏洞，在未授權的情況下遠程訪問Coremail部分服務接口，通過參數構造注入進行文件操作。
漏洞驗證
暫無POC/EXP。
修復建議
目前，論客公司已發布補丁進行修復：
2、針對Coremail XT5，補丁編號為CMXT5-2019-0001，程序版本號XT5.0.9a build 20190604(696d1518)。
如已安裝的程序包的版本號日期早于20190604，建議用戶及時更新補?。河脩艨梢栽贑oremail云服務中心的補丁管理模塊，根據補丁編號下載并按照操作指引進行手動更新。
臨時修補方案如下：
1、在不影響正常使用的情況下，通過部署VPN服務限制對Coremail服務器的公網訪問；
2、在Web服務器（nginx/apache）上限制外網對 /apiws 路徑的訪問。
建議使用Coremail產品構建郵件服務的信息系統運營者，立即自檢，發現存在漏洞及時修復。
參考鏈接
京公網安備11010802024551號