涉及程序：
Kerio Mail Server 5.0

描述：
Kerio Mail Server 5.0 的拒绝服务/跨站脚本执行缺陷


详细：
Kerio Mail Server 是一个适用于中小企业的因特网和局域网邮件服务程序。他结合了反病毒控制、pop3的SSL加密、IMAP4、SMTP、web邮件方式、WAP协议以及邮件附件过滤程序，并且可以定义垃圾邮件名单。

不幸的是所有的基于 windows 平台的邮件服务和邮件服务器的 Web 邮件模块都存在拒绝服务和跨站脚本执行缺陷。攻击者利用此缺陷使整个邮件服务器服务崩溃，甚至能在受害机器上运行任意的恶意脚本。

1] Kerio Mail Server 服务的多个拒绝服务缺陷

通过发送多个"SYN"数据包给邮件服务器的每个服务(像POP3, SMTP, IMAP, Secure IMAP, POP3S, Web-mail, Secure Web-mail)，就可使服务停止响应。在实验中发送5个"SYN"数据包就足可使服务停止响应，几分钟以后才能再恢复正常。攻击者如果利用这个缺陷发送大量的"SYN"数据包，将能够耗尽系统所有的资源，使服务彻底崩溃。

2] Cross-Site Scripting 缺陷

Kerio 的 Web-Mail 存在 Cross-site scripting 缺陷，允许能够访问 web-mail 的任何用户在目标机器上运行恶意脚本，即使 Secure Web-mail 也受此影响。

受影响的链接:

http://<kerio webmail>/login <---------- Frontpage of the webmail

http://<kerio webmail>/search

http://<kerio webmail>/settings

http://<kerio webmail>/new

http://<kerio webmail>/list

http://<kerio webmail>/logout

------------------------------------------------

测试平台: Windows NT / 2000 / XP

风险性: 高


攻击方法：
攻击者如果利用这个缺陷发送大量的"SYN"数据包，将能够耗尽系统所有的资源，使服务彻底崩溃。



解决方案：
临时解决方案:

1] 过滤所有的服务，在内网仅仅允许来自受信任的源IP地址的请求服务通过，将来自外网的所有服务都禁止。

2] 针对 Cross-site scripting 缺陷，过滤 80 端口和 HTTPS 服务端口，仅仅允许端口进行本地访问。或者使用基于应用层的防火墙过滤恶意脚本的运行。
　

主目录 分目录