Cisco IronPort加密设备和PostX多个信息泄露及跨站请求伪造漏洞

发布日期：2009-01-14
更新日期：2009-01-15

受影响系统：

Cisco IronPort Encryption Appliance 6.5
Cisco IronPort Encryption Appliance 6.3
Cisco IronPort Encryption Appliance 6.2.7
Cisco IronPort Encryption Appliance 6.2.6
Cisco IronPort Encryption Appliance 6.2.5
Cisco IronPort Encryption Appliance 6.2.4
Cisco PostX 6.2.2
Cisco PostX 6.2.1

不受影响系统：

Cisco IronPort Encryption Appliance 6.5.0.2
Cisco IronPort Encryption Appliance 6.3.0.4
Cisco IronPort Encryption Appliance 6.2.7.7
Cisco IronPort Encryption Appliance 6.2.4.1.1
Cisco PostX 6.2.2.3
Cisco PostX 6.2.1.1

描述：

---

BUGTRAQ  ID: 33268
CVE(CAN) ID: CVE-2009-0053,CVE-2009-0054,CVE-2009-0055,CVE-2009-0056

IronPort系列产品是广泛使用的邮件加密网关，能够无缝地完成机密电子邮件的加密、解密和数字签名工作。

IronPort加密设备存在逻辑错误，可能允许攻击者无需用户交互便获得用于保护所截获安全邮件消息内容的消息特定的密钥。攻击者可以使用解密密钥解密安全邮件消息的内容。这个漏洞在IronPort bug中记录为8062，所分配的CVE ID为CVE-2009-0053。

通过修改截获安全邮件消息的内容或伪造邮件消息的相近拷贝，攻击者就可以诱骗用户查看修改过的安全邮件消息，然后导致暴露用户的凭据和消息内容。这个漏洞在IronPort bug中记录8149，所分配的CVE ID为CVE-2009-0054.

IronPort加密设备的管理界面存在跨站请求伪造漏洞，如果用户登录到IronPort加密设备管理界面的话，可能允许攻击者修改用户的IronPort加密设备首选项，包括用户名和个人安全密码短语。利用这个漏洞不允许攻击者更改用户的口令。这个漏洞在IronPort bug中记录5806，所分配的CVE ID为CVE-2009-0055。
  
IronPort加密设备的管理界面还存在另一个跨站请求伪造漏洞，在某些环境下当用户注销IronPort加密设备的管理界面时，可能允许攻击者执行命令并修改用户的IronPort加密设备首选项，包括用户名和个人安全密码短语。利用这个漏洞不允许攻击者更改用户口令。这个漏洞在IronPort bug中记录6403，所分配的CVE ID为CVE-2009-0056。

<*来源：J.B. Snyder
  
  链接：http://secunia.com/advisories/33479/
        http://www.cisco.com/en/US/products/products_security_advisory09186a0080a5c4f7.shtml
*>

建议：

---

厂商补丁：

Cisco
-----
Cisco已经为此发布了一个安全公告（cisco-sa-20090114-ironport）以及相应补丁:
cisco-sa-20090114-ironport：IronPort Encryption Appliance/PostX and PXE Encryption Vulnerabilities
链接：http://www.cisco.com/en/US/products/products_security_advisory09186a0080a5c4f7.shtml