发布日期：2003-09-10
更新日期：2003-09-18

受影响系统：

Floosietek FTGatePro 1.22 (1331)

描述：

---

BUGTRAQ  ID: 8578

FTGate是一款功能强大的邮件服务程序。

FTGate的管理接口缺少充分的访问控制，远程攻击者可以利用这个漏洞获得系统敏感配置文件和用户敏感信息。

FTGate的管理接口包含ftgatedump.fts脚本，可泄露各种当前配置信息，并且由于没有正确提供权限检查，任意用户可以访问此脚本。另外，包含的Exportmbx.fts脚本用于导出邮箱内容到文本文件中，虽然此脚本没有任何选项用于查看系统文件，但是可以用于导出FTGate服务器中ROOT目录中的文件，因此攻击者有可能利用这个问题获得敏感信息。

<*来源：Phuong Nguyen （dphuong@yahoo.com）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=106322762207749&w=2
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Phuong Nguyen （dphuong@yahoo.com）提供了如下测试方法：

http://www.example.org:8089/tools/ftgatedump.fts
http://www.example.org:8089/tools/ftgatedump.fts?command=1

建议：

---

厂商补丁：

Floosietek
----------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载补丁：

http://www.floosietek.com/files/ftgate12.exe

浏览次数：2516
严重程度：0（网友投票）