发布日期：2003-02-10
更新日期：2003-02-17

受影响系统：

Alt-N MDaemon 6.0.7
Alt-N MDaemon 6.0.6
Alt-N MDaemon 6.0.5
Alt-N MDaemon 6.0.0
Alt-N MDaemon 5.0.7
Alt-N MDaemon 3.5.6
Alt-N MDaemon 3.5.4
Alt-N MDaemon 3.5.1
Alt-N MDaemon 3.5.0
Alt-N MDaemon 3.1.2
Alt-N MDaemon 3.1.1
Alt-N MDaemon 3.0.4
Alt-N MDaemon 3.0.3
Alt-N MDaemon 2.8.50
Alt-N MDaemon 2.8
Alt-N MDaemon 6.5.0
    - Microsoft Windows NT 4.0
    - Microsoft Windows 98
    - Microsoft Windows 95
    - Microsoft Windows 2000

描述：

---

BUGTRAQ  ID: 6816

MDaemon是一款集成邮件传输代理，WEBMAIL，邮件防病毒的程序，可使用在Microsoft Windows操作系统下。

默认cgibase配置脚本'Form2Raw.cgi'存在设计问题，远程攻击者可以利用这个漏洞通过MDaemon服务器发送伪造邮件头信息的邮件。

系统包含的'C:\MDaemon\CGI\Form2Raw.exe'工具允许任何人提交输入HTML表单数据从MDaemon邮件服务器发送邮件，由于对用户提交的输入没有任何检查，攻击者可以构建伪造邮件头信息发送匿名邮件。默认配置情况下，此CGI程序可以被任何用户访问。

<*来源：A K Hooja （java@datainfosys.net）
  
  链接：http://www.securitytracker.com/alerts/2003/Feb/1006058.html
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 编辑'Worldclient.ini'文件，可以通过删除如下行关闭'Form2Raw.exe'应用程序的使用：

CgiBase2=/Form2Raw.cgi
CgiFile2=C:\MDaemon\CGI\Form2Raw.exe

厂商补丁：

Alt-N
-----
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.deerfield.com/products/mdaemon/

浏览次数：3638
严重程度：0（网友投票）