信息來(lái)源：hackernews

        外媒 2 月 25 日消息，Core Security 發(fā)現(xiàn)趨勢(shì)科技基于 Linux 的電子郵件加密網(wǎng)關(guān)的 Web 控制臺(tái)中存在多個(gè)安全漏洞（ CVE-2018-6219 ~ CVE-2018-6230），其中一些被評(píng)為嚴(yán)重等級(jí)的漏洞能夠允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者以root權(quán)限執(zhí)行任意命令。目前受影響的軟件包是趨勢(shì)科技電子郵件加密網(wǎng)關(guān) 5.5 （Build 1111.00）及更早版本。

        在這些漏洞中，最嚴(yán)重的是 CVE-2018-6223，可能會(huì)被本地或遠(yuǎn)程攻擊者利用來(lái)獲得目標(biāo)設(shè)備的 root 權(quán)限，以便于執(zhí)行任意命令。目前來(lái)說(shuō)，該漏洞與設(shè)備注冊(cè)時(shí)缺少身份驗(yàn)證有關(guān)。

具體細(xì)節(jié)為：管理員在部署過(guò)程中需要通過(guò)注冊(cè)端點(diǎn)配置運(yùn)行電子郵件加密網(wǎng)關(guān)的虛擬設(shè)備， 于是攻擊者可以利用該漏洞在沒(méi)有身份驗(yàn)證的情況下訪問(wèn)端點(diǎn)，以設(shè)置管理員憑據(jù)并對(duì)配置進(jìn)行其他更改，比如管理員用戶名和密碼等。

        據(jù)悉，Core Security 還發(fā)現(xiàn)了兩個(gè)嚴(yán)重的跨站腳本攻擊（XSS）漏洞，一個(gè)可導(dǎo)致命令執(zhí)行的任意文件寫入問(wèn)題，另一個(gè)則導(dǎo)致命令執(zhí)行的任意日志文件位置以及未驗(yàn)證的軟件更新。除此之外，趨勢(shì)科技的電子郵件加密網(wǎng)關(guān)也包括了 SQL 和 XML 外部實(shí)體（XXE）注入等漏洞。

        目前趨勢(shì)科技確認(rèn)，由于實(shí)施修復(fù)程序的困難，中等嚴(yán)重性 CSRF 問(wèn)題和低嚴(yán)重性 SQL 注入漏洞尚未得到修補(bǔ)。