中華資安國際發現CVE弱點,日本知名電子郵件系統具有多項漏洞

中華資安國際Red Team團隊發現,日本知名電子郵件系統具有多項漏洞(CVE-2020-5540、CVE-2020-5541),指出日本知名電子郵件系統具有跨網站腳本攻擊 (Cross-Site Scripting) 與未經驗證的轉址與導向 (Open Redirect) 等漏洞,簡述如下:


CVE-2020-5540:攻擊者可在不經過任何身分認證情況下,進行跨網站腳本攻擊,郵件系統多個版本都存在此漏洞,此漏洞可歸類於OWASP TOP 10 2017之A7 - Cross-Site Scripting (XSS)類型中。


CVE-2020-5541:攻擊者可在不經過任何身分認證情況下,進行未經驗證的轉址與導向,郵件系統多個版本都存在此漏洞,此漏洞可歸類於CWE-601: URL Redirection to Untrusted Site (Open Redirect)類型中。


日本開發廠商接獲通報後已配合儘速釋出相關更新,若機關或企業有使用電子郵件系統者,建議儘快聯繫廠商進行修補更新。

中華資安國際建議採取以下防範措施:

1. 使用者:聯繫廠商盡速安裝修補更新檔。

2. 郵件系統開發商:在程式開發過程中應針對輸入參數做檢查。

3. 郵件系統開發商:建議導入安全程式開發流程(SSDLC)、事前進行安全程式碼開發教育訓練,並定期執行源碼檢測滲透測試等安全檢測,才能有效地確保產品及用戶安全。

本次通報獲得日本漏洞紀錄平台JVN公開感謝,詳見JVN網站謝辭內容,同時也被日本多家資安電子媒體轉載如下: 

1. https://scan.netsecurity.ne.jp/article/2020/08/13/44435.html 

2. https://www.security-next.com/117513

3. https://www.excite.co.jp/news/article/Scannetsecurity_44435/