发布日期：2002-01-23
更新日期：2002-01-25

受影响系统：

Matt Wright FormMail 1.9
Matt Wright FormMail 1.8
Matt Wright FormMail 1.7
Matt Wright FormMail 1.6
Matt Wright FormMail 1.5
Matt Wright FormMail 1.4
Matt Wright FormMail 1.3
Matt Wright FormMail 1.2
Matt Wright FormMail 1.1
Matt Wright FormMail 1.0

描述：

---

BUGTRAQ  ID: 3954
CVE(CAN) ID: CVE-2002-2109

FormMail是一款使用广泛的基于WEB的邮件网关，允许基于表单输入邮寄个指定用户。它是用perl写的，可以运行于大多数的Linux/Unix，以及Microsoft Windows等多种系统平台。

FormMail依靠HTTP_REFERER变量来建立用户的识别，伪造HTTP_REFERER头信息可以绕过认证机制。而伪造HTTP_REFERER头信息对远程攻击者来说是非常容易的。

远程攻击者可以利用这漏洞做很多事情，比如伪造CGI变量来使用FormMail滥发匿名邮件等等。

<*来源：Ronald F. Guilmette （rfg@monkeys.com）
  
  链接：http://archives.neohapsis.com/archives/bugtraq/2002-01/0307.html
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 如果只是在小范围使用此程序，设置Web认证，确信只有合法用户才能使用。

厂商补丁：

Matt Wright
-----------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

浏览次数：3550
严重程度：0（网友投票）