漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-060786
漏洞标题：Turbomail认证信息设计缺陷及存储型xss
相关厂商：turbomail.org
漏洞作者： Asuimu
提交时间：2014-05-15 10:20
修复时间：2014-08-10 10:22
公开时间：2014-08-10 10:22
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-05-15： 细节已通知厂商并且等待厂商处理中
2014-05-20： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-07-14： 细节向核心白帽子及相关领域专家公开
2014-07-24： 细节向普通白帽子公开
2014-08-03： 细节向实习白帽子公开
2014-08-10： 细节向公众公开
简要描述：
漏洞1、任意用户认证信息劫持
漏洞2、跨站
漏洞3、内置账号弱口令
详细说明：
1、邮件系统直接把用户sessionid放置于url中，导致可利用图片探针轻易窃取到用户sessionid。
2、跨站漏洞，主要还是编辑器。
3、内置账号nobody默认口令为空，直接拿nobody搞到通讯录，然后就可以爆破其他人邮箱了，或者直接利用问题1劫持。
漏洞证明：
1、将图片探针插入到qq邮箱或其他邮箱img标签中发送给需要劫持的邮箱
对方在收到邮件阅读邮件时触发包含在邮件中的图片探针，手机第一时间收到包含sessionid的url
获得的sessionid为582656dH37b809_0，则直接构造如下地址即可登陆邮箱
http://mail.xxxx.cn/tmw/582656dH37b809_0/main1.jsp
或者
http://mail.xxxx.cn/tmw/582656dH37b809_0/enterprise/main.jsp
当然，你也可以利用下面的跨站漏洞去劫持。
2、跨站漏洞，编辑器中可直接插脚本，邮件阅读模块也没有对邮件内容作过滤。
另外签名档里也存在跨站。
3、弱口令，邮件系统默认后台管理员账号nobody的密码为空，目前网上还有很多可以直接nobody空口令进去。某银行的邮件系统就如此，大家自己去找吧。下面贴几个截图。
官方后台地址：http://www.turbomail.org:8888/maintlogin.jsp
大家变换关键词找吧。
修复方案：
问题1、弃用以前的设计，认证key怎么能直接放url
问题2、启用fck之类的
问题3、nobody可以删了
版权声明：转载请注明来源 Asuimu@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-08-10 10:22
厂商回复：
最新状态：
2014-08-10：此漏洞已经修复1.fck 已经删除2.nobody 已经限制登录3.登录已经采用强制安全模式，此模式是cookies+ip+key 综合验证模式，杜绝仅仅通过key可以登录问题