MailMarshal UNARJ解压目录遍历漏洞
<strong>发布日期：</strong>2006-11-10<br/><b>更新日期：</b>2006-11-13<br/><br/><b>受影响系统：</b><blockquote>Marshal MailMarshal SMTP 6.0<br/>Marshal MailMarshal SMTP 5.0<br/>Marshal MailMarshal SMTP 2006<br/>Marshal MailMarshal for Exchange 5.0</blockquote><b>不受影响系统：</b>
<blockquote>Marshal MailMarshal SMTP 6.1.8</blockquote><b>描述：</b>
<hr/>BUGTRAQ ID: <a href="http://www.securityfocus.com/bid/20999" target="_blank">20999</a><br/>CVE(CAN) ID: <a href="http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-5487" target="_blank">CVE-2006-5487</a><br/><br/>MailMarshal SMTP是适用于业务网络的邮件安全解决方案。<br/><br/>MailMarshal用于解压.ARJ文档文件的解压例程中存在目录遍历漏洞，远程攻击者可能利用此漏洞在系统的任意位置创建文件。<br/><br/>由于没有对包含有目录遍历字符串（如“../”）的解压文件名执行正确的沙盒限制，攻击者可以通过诱骗用户打开恶意的ARJ文档在任意位置创建文件。<br/><br/><*来源：ZDI （<a href="http://www.zerodayinitiative.com/）" target="_blank">http://www.zerodayinitiative.com/）</a><br/> <br/> 链接：<a href="http://www.marshal.com/kb/article.aspx?id=11450" target="_blank">http://www.marshal.com/kb/article.aspx?id=11450</a><br/> <a href="http://marc.theaimsgroup.com/?l=bugtraq&m=116319495411707&w=2" target="_blank">http://marc.theaimsgroup.com/?l=bugtraq&m=116319495411707&w=2</a><br/> <a href="http://secunia.com/advisories/22806/" target="_blank">http://secunia.com/advisories/22806/</a><br/>*><br/><br/><b>建议：</b>
<hr/>厂商补丁：<br/><br/>Marshal<br/>-------<br/>目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：<br/><br/><a href="http://www.marshal.com/" target="_blank">http://www.marshal.com/</a><br/>
页:
[1]