中華資安國際發現CVE弱點，國內知名電子郵件系統具有多項漏洞

    中華資安國際Red Team團隊發現，國內知名電子郵件系統具有多項漏洞(CVE-2019-15071、CVE-2019-15072、CVE-2019-15073)，指出國內知名電子郵件系統具有跨網站腳本攻擊(Cross-Site Scripting)與未經驗證的轉址與導向(Open Redirect)等漏洞，影響範圍包含政府、教育與金融等至少約40個機構，簡述如下：

CVE-2019-15071：攻擊者可在不經過任何身分認證情況下，進行跨網站腳本攻擊，郵件系統多個版本都存在此漏洞，弱點發生頁面為"/cgi-bin/go"，此漏洞可歸類於OWASP TOP 10 2017之A7 - Cross-Site Scripting(XSS)類型中。

CVE-2019-15072：攻擊者可針對任意參數進行跨網站腳本攻擊，郵件系統多個版本都存在此漏洞，弱點發生頁面為"/cgi-bin/portal"，此漏洞可歸類於OWASP TOP 10 2017之A7 - Cross-Site Scripting(XSS)類型中。

CVE-2019-15073：攻擊者可在不經過任何身分認證情況下，進行未經驗證的轉址與導向，郵件系統多個版本都存在此漏洞，弱點發生頁面為"/cgi-bin/go"，此漏洞可歸類於CWE-601: URL Redirection to Untrusted Site (Open Redirect)類型中。

開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用電子郵件系統者，建議儘快聯繫廠商進行修補更新。

中華資安國際建議採取以下防範措施：

1. 使用者：聯繫廠商盡速安裝修補更新檔。

2. 郵件系統開發商：在程式開發過程中應針對輸入參數做檢查。

3. 郵件系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。