中華資安國際發現CVE弱點,知名電子郵件系統具有SQL注入漏洞

中華資安國際Red Team團隊發現,國內市占率相當高的知名電子郵件系統具有SQL注入漏洞(CVE-2020-3922),影響範圍包含政府、金融與科技公司等至少約20個機構。

【風險等級】重大威脅

【影響範圍】2017前版本

【細節描述】

CVE-2020-3922:攻擊者可在不經過任何身分認證情況下,可讀出完整資料庫表單,取得user帳密進行登入,影響系統機密性,登入後可修改user密碼,影響系統完整性。此漏洞可歸類於OWASP TOP 10 2017之A1 - Injection類型中。


開發廠商接獲通報後已配合儘速釋出相關更新,若機關或企業有使用電子郵件系統者,建議儘快聯繫廠商進行修補更新。


中華資安國際建議採取以下防範措施:

1. 使用者:聯繫廠商盡速安裝修補更新檔。

2. 郵件系統開發商:密碼保存應使用加鹽雜湊(Salt),避免明文儲存。

3. 郵件系統開發商:在程式開發過程中應針對輸入參數做檢查。

4. 郵件系統開發商:建議導入安全程式開發流程(SSDLC)、事前進行安全程式碼開發教育訓練,並定期執行源碼檢測及滲透測試等安全檢測,才能有效地確保產品及用戶安全。


【參考資訊】

    NIST(CVE-2020-3922) (2020/03/18)

    TWCERT/CC(TVN-202012001) (2020/03/18)