Majordomo 2 'help'命令目录遍历漏洞

CVE编号

CVE-2011-0049

利用情况

暂无

补丁情况

N/A

披露时间

2011-02-04

漏洞描述

Majordomo是一款邮件列表应用程序。当处理文件时"_list_file_get()"函数(lib/Majordomo.pm)存在输入验证错误，向任何应用程序接口(Email或web)提交包含目录遍历符的特制请求可以应用程序权限获得系统任意文件信息。

解决建议

用户可参考如下供应商提供的安全公告获得补丁信息：https://bug628064.bugzilla.mozilla.org/attachment.cgi?id=506481

参考链接
http://osvdb.org/70762
http://secunia.com/advisories/43125
http://securityreason.com/securityalert/8061
http://www.exploit-db.com/exploits/16103
http://www.kb.cert.org/vuls/id/363726
http://www.securityfocus.com/archive/1/516150/100/0/threaded
http://www.securityfocus.com/bid/46127
http://www.securitytracker.com/id?1025024
http://www.vupen.com/english/advisories/2011/0288
https://bug628064.bugzilla.mozilla.org/attachment.cgi?id=506481
https://bugzilla.mozilla.org/show_bug.cgi?id=628064
https://exchange.xforce.ibmcloud.com/vulnerabilities/65113
https://sitewat.ch/en/Advisory/View/1

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	mj2	majordomo_2	*		Up to (including) 20110130
	运行在以下环境
	应用	mj2	majordomo_2	20110101	-
	运行在以下环境
	应用	mj2	majordomo_2	20110102	-
	运行在以下环境
	应用	mj2	majordomo_2	20110103	-
	运行在以下环境
	应用	mj2	majordomo_2	20110104	-
	运行在以下环境
	应用	mj2	majordomo_2	20110105	-
	运行在以下环境
	应用	mj2	majordomo_2	20110106	-
	运行在以下环境
	应用	mj2	majordomo_2	20110107	-
	运行在以下环境
	应用	mj2	majordomo_2	20110108	-
	运行在以下环境
	应用	mj2	majordomo_2	20110109	-
	运行在以下环境
	应用	mj2	majordomo_2	20110110	-
	运行在以下环境
	应用	mj2	majordomo_2	20110111	-
	运行在以下环境
	应用	mj2	majordomo_2	20110112	-
	运行在以下环境
	应用	mj2	majordomo_2	20110113	-
	运行在以下环境
	应用	mj2	majordomo_2	20110114	-
	运行在以下环境
	应用	mj2	majordomo_2	20110115	-
	运行在以下环境
	应用	mj2	majordomo_2	20110116	-
	运行在以下环境
	应用	mj2	majordomo_2	20110117	-
	运行在以下环境
	应用	mj2	majordomo_2	20110118	-
	运行在以下环境
	应用	mj2	majordomo_2	20110119	-
	运行在以下环境
	应用	mj2	majordomo_2	20110120	-
	运行在以下环境
	应用	mj2	majordomo_2	20110121	-
	运行在以下环境
	应用	mj2	majordomo_2	20110122	-
	运行在以下环境
	应用	mj2	majordomo_2	20110123	-
	运行在以下环境
	应用	mj2	majordomo_2	20110124	-
	运行在以下环境
	应用	mj2	majordomo_2	20110125	-
	运行在以下环境
	应用	mj2	majordomo_2	20110126	-
	运行在以下环境
	应用	mj2	majordomo_2	20110127	-
	运行在以下环境
	应用	mj2	majordomo_2	20110128	-
	运行在以下环境
	应用	mj2	majordomo_2	20110129	-

CVSS3评分 5.0

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 N/A
• 用户交互 无
• 可用性 无
• 保密性 部分地
• 完整性 无

AV:N/AC:L/Au:N/C:P/I:N/A:N

CWE-ID	漏洞类型
CWE-22	对路径名的限制不恰当（路径遍历）

Exp相关链接

• https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/auxiliary/scanner/http/majordomo2_directory_traversal.rb
• https://www.exploit-db.com/exploits/16103

- avd.aliyun.com