CVE编号
CVE-2020-1931利用情况
暂无补丁情况
官方补丁披露时间
2020-01-31漏洞描述
在3.4.3之前的Apache SpamAssassin中发现命令执行问题。精心制作的恶意配置（.cf）文件可以配置为运行类似于CVE-2018-11805的系统命令。此问题不太隐蔽，尝试利用此问题将引发警告。感谢credativ的Damian Lukowski以道德的方式报告此问题。修补此漏洞后，可以在许多情况下注入漏洞，尽管远程执行很困难。除了升级到SA 3.4.4，我们再次建议用户仅使用受信任位置的更新通道或第三方.cf文件。解决建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://spamassassin.apache.org/news.html
参考链接 |
|
|---|---|
| http://lists.opensuse.org/opensuse-security-announce/2020-04/msg00003.html | |
| https://bz.apache.org/SpamAssassin/show_bug.cgi?id=7784 | |
| https://lists.debian.org/debian-lts-announce/2020/02/msg00015.html | |
| https://lists.fedoraproject.org/archives/list/[email protected]... | |
| https://lists.fedoraproject.org/archives/list/[email protected]... | |
| https://seclists.org/bugtraq/2020/Feb/1 | |
| https://usn.ubuntu.com/4265-1/ | |
| https://usn.ubuntu.com/4265-2/ | |
| https://www.debian.org/security/2020/dsa-4615 |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | apache | spamassassin | * |
Up to (excluding) 3.4.3 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.10 | spamassassin | * |
Up to (excluding) 3.4.4-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.11 | spamassassin | * |
Up to (excluding) 3.4.4-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.12 | spamassassin | * |
Up to (excluding) 3.4.4-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.13 | spamassassin | * |
Up to (excluding) 3.4.4-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.14 | spamassassin | * |
Up to (excluding) 3.4.4-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.15 | spamassassin | * |
Up to (excluding) 3.4.4-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_edge | spamassassin | * |
Up to (excluding) 3.4.4-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | centos_8 | spamassassin | * |
Up to (excluding) 3.4.2-10.el8 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_10 | spamassassin | * |
Up to (excluding) 3.4.2-1+deb10u2 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_8 | spamassassin | * |
Up to (excluding) 3.4.2-0+deb8u1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_9 | spamassassin | * |
Up to (excluding) 3.4.2-1~deb9u3 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_30 | spamassassin | * |
Up to (excluding) 3.4.4-1.fc30 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | fedora_31 | spamassassin | * |
Up to (excluding) 3.4.4-1.fc31 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_Leap_15.1 | spamassassin | * |
Up to (excluding) 3.4.2-lp151.8.3.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | oracle_8 | spamassassin | * |
Up to (excluding) 3.4.2-10.el8 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | redhat_8 | spamassassin | * |
Up to (excluding) 3.4.2-10.el8 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | suse_12_SP4 | spamassassin | * |
Up to (excluding) 3.4.2-44.8.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | suse_12_SP5 | spamassassin | * |
Up to (excluding) 3.4.2-44.8.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | ubuntu_14.04 | spamassassin | * |
Up to (excluding) 3.4.2-0ubuntu0.14.04.1+esm2 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | ubuntu_16.04 | spamassassin | * |
Up to (excluding) 3.4.2-0ubuntu0.16.04.3 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | ubuntu_18.04 | spamassassin | * |
Up to (excluding) 3.4.2-0ubuntu0.18.04.3 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | unionos_20 | spamassassin | * |
Up to (excluding) 3.4.2-1+deb10u2 |
|||||
- 攻击路径 远程
- 攻击复杂度 困难
- 权限要求 无需权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 100
还没有评论，来说两句吧...