Ipswitch IMail Server 7.04 Session ID 可预知漏洞

发布日期：2001-10-11
更新日期：2001-10-12

受影响系统：

Ipswitch IMail Server 7.04

描述：

---

Ipswitch IMail Server 7.04存在一个安全漏洞。通过分析Session ID的生成机制，我们可能
预知Session ID，从而不需要知道用户名和密码即可访问某用户的信箱。

下面是一组Session ID值，我们可以看出其生成机制是相当脆弱的。

45: Sesion ID: /Xa20acc929dcecfce93a0afa688
46: Sesion ID: /Xa20bcc929dcecccb9ba0afa688
47: Sesion ID: /Xa208cc929dcf9a9c93a0afa688
48: Sesion ID: /Xa209cc929dcf9b9998a0afa688
49: Sesion ID: /Xa20ecc929dcf9bcccba0afa688
50: Sesion ID: /Xa20fcc929dcf98c998a0afa688
51: Sesion ID: /Xa20ccc929dcf9992c8a0afa688
52: Sesion ID: /Xa20dcc929dcf9ecbcea0afa688
53: Sesion ID: /Xa202cc929dcf9f9dcca0afa688
54: Sesion ID: /Xa203cc929dcf9c9e92a0afa688
55: Sesion ID: /Xa200cc929dcf9d9b9aa0afa688
56: Sesion ID: /Xa201cc929dcf9dce92a0afa688
57: Sesion ID: /Xa206cc929dcf92cb9aa0afa688
58: Sesion ID: /Xa207cc929dcf939c93a0afa688
59: Sesion ID: /Xa204cc929dcfcb999ba0afa688
60: Sesion ID: /Xa205cc929dcfcbcc93a0afa688

<*来源：Niels Heinen （zilli0n@gmx.net）
参考：http://archives.neohapsis.com/archives/bugtraq/2001-10/0082.html
*>


建议：

---

厂商补丁：

目前厂商已经发布了补丁程序，请到厂商的主页下载最新版本：
http://www.ipswitch.com/support/IMail/patch-upgrades.html

文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!