Modoboa — это платформа почтового хостинга и управления. До версии 2.7.1 `exec_cmd()` в `modoboa/lib/sysutils.py` всегда запускал вызовы подпроцесса с `shell=True`. Поскольку доменные имена передаются непосредственно в командные строки оболочки без какой-либо очистки, реселлер или суперадминистратор могут включать метасимволы оболочки в имя домена для запуска произвольных команд ОС на сервере.
Версия 2.7.1 исправляет проблему.
Показать оригинальное описание (EN)
Modoboa is a mail hosting and management platform. Prior to version 2.7.1, `exec_cmd()` in `modoboa/lib/sysutils.py` always runs subprocess calls with `shell=True`. Since domain names flow directly into shell command strings without any sanitization, a Reseller or SuperAdmin can include shell metacharacters in a domain name to run arbitrary OS commands on the server. Version 2.7.1 patches the issue.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Modoboa Modoboa
cpe:2.3:a:modoboa:modoboa:*:*:*:*:*:*:*:*
|
— |
2.7.1
|