Coremail配置信息泄露漏洞安全通告
发布时间 2019-06-17漏洞编号和级别
CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定
影响版本
受影响的版本
适用于Coremail XT 3.0.1至XT 5.0.9版本。
漏洞概述
Coremail邮件系统是论客科技（广州）有限公司（以下简称论客公司）自主研发的大型企业邮件系统，Coremail不但为网易（126、163、yeah）、移动，联通等知名运营商提供电子邮件整体技术解决方案及企业邮局运营服务，还为石油、钢铁、电力、政府、金融、教育、尖端制造企业等用户提供邮件系统软件和反垃圾服务。
Coremail邮件系统存在配置信息泄露漏洞（CNVD-2019-16798），由于Coremail邮件系统的mailsms模块的参数大小写敏感存在缺陷，使得攻击者利用该漏洞，在未授权的情况下，通过远程访问URL地址获知Coremail服务器的系统配置文件，造成数据库连接参数等系统敏感配置信息泄露，包括配置IP、端口、文件路径、数据库密码、用户名等信息。
漏洞验证
POC：/mailsms/s?func=ADMIN:appState&dumpConfig=/
通过域名或者IP等地址+POC即可获取目标邮件服务器配置文件，配置文件包括：文件路径、IP、端口、数据库用户、密码等敏感信息。
修复建议
目前，论客公司已发布补丁进行修复，针对Coremail XT5和Coremail XT3/CM5版本，补丁编号为CMXT5-2019-0002，程序版本1.1.0-alphabuild20190524(3813d273)。如已安装的程序包的版本号日期早于20190524，建议用户及时更新补丁：用户可以在Coremail云服务中心的补丁管理模块，根据补丁编号下载并按照操作指引进行手动更新。
临时修补方法如下：
2、在Web服务器（nginx/apache）上限制外网对 /mailsms 路径的访问。
建议使用Coremail构建邮件服务器的信息系统运营者立即自查，发现存在漏洞后及时修复。
参考链接
京公网安备11010802024551号