漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-075402
漏洞标题：深信服内部邮箱泄露
相关厂商：深信服
漏洞作者： if、so
提交时间：2014-09-07 23:14
修复时间：2014-10-22 23:16
公开时间：2014-10-22 23:16
漏洞类型：内部绝密信息泄漏
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-07： 细节已通知厂商并且等待厂商处理中
2014-09-09： 厂商已经确认，细节仅向厂商公开
2014-09-19： 细节向核心白帽子及相关领域专家公开
2014-09-29： 细节向普通白帽子公开
2014-10-09： 细节向实习白帽子公开
2014-10-22： 细节向公众公开
简要描述：
深信服内部邮箱泄露，反映的不是不仅仅是一个邮箱泄露，更是安全机制缺陷的暴露
详细说明：
放假无聊，做点检测。无意中看到了深信服厂商，看其历史漏洞时，发现深信服使用的是extmail邮件系统，在我印象中extmail是没有账号过期策略的，即存在被互联网泄露账号撞库风险。
访问mail.sangfor.com却是一个论坛，不是mail登陆口，但是换汤不换药，本质改变不了。
都能成功连接，说明邮件服务器就是mail.sangfor.com，只不过把webmail取消部署了。
开始大数据搜索，成功搜索到一个匹配账号密码
使用客户端连接配置连接，进去鸟！
公司内部信息和客户信息泄露
贵公司以为撤销webmail就能规避外部非授权访问，那就想错了。
要想解决这个问题，可以采用支持AD域验证的邮件系统如exchange，然后配合一个self-service的自助修改域账号的系统，采取定期密码过期的策略，这样就能规避被撞库风险。
漏洞证明：
采取什么样合理的安全机制和策略值得思考
修复方案：
。。
版权声明：转载请注明来源 if、so@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2014-09-09 16:51
厂商回复：
感谢白帽子提出的问题及第一时间协助我们解决问题。
经确认，我们的邮箱系统密码管理策略确实需要加强，IT部门会尽快完成密码控制策略的完善，同时强制要求用户定期修改密码。
请白帽子私信留下联系方式，我们送出的小礼品会飞速送出！
最新状态：
暂无