发布日期：2000-12-04
更新日期：2000-12-04

受影响系统：

Great Circle Associates Majordomo 1.94.5
Great Circle Associates Majordomo 1.94.43

描述：

---

Majordomo是一个常用的邮件列表软件。 它存在一个常见的配置错误，可能导
致远程攻击者越权执行管理命令。

Majordomo是通过一个管理口令来进行列表管理员认证的。用户提交的口令首先
与列表配置文件中的"admin_password"项中的值来比较，如果匹配，则认证成功
。如果不匹配，则尝试打开此邮件列表目录下的"<列表名称>.passwd"文件，从
中读取的一行口令，进行比较。

很多Majordomo安装手册中建议用户不要在admin_password中设置真实口令，而
是将此项设置为"<列表名称>.passwd",并将真实的口令放到"<列表名称>.passwd"
文件中。

如果一个Majordomo系统采用了这种配置方法。攻击者就可以通过猜测列表名称
来获取一个有效的管理员口令。从而可以远程执行一些列表管理命令。

<* 来源：marvin （marvin@NSS.NU）*>



建议：

---

临时解决方法：

NSFOCUS建议采用了错误配置方法的用户尽快按照下列任意一种临时解决方法解
决：

1. 在配置文件中设置，而不是放到另一个单独文件中
2. 修改majordomo.pl程序中main'valid_passwd中的代码，
   如果发现与"admin_password"项的值同名的文件存在，就不再与此值进行比
   较。

厂商补丁：

暂无


浏览次数：3991
严重程度：0（网友投票）