McAfee Email Gateway 7.6.x < 7.6.404 阻断的电子邮件警报 XSS (SB10153)

medium Nessus 插件 ID 90835

简介

远程主机上安装的应用程序受到一个跨站脚本漏洞的影响。

描述

远程主机上安装的 McAfee Email Gateway (MEG) 版本为低于 7.6.404 的 7.6.x。因此,它受到一个跨站脚本 (XSS) 漏洞影响,将操作设为“ESERVICES:REPLACE”以启用文件筛选功能时,会触发该漏洞。这是因为系统未验证通过阻断电子邮件附件警报发送的输入;这些附件将“按原样”显示,而不会正确转义 XML 或 HTML 属性。未经认证的远程攻击者可利用此漏洞,通过构建的电子邮件附件在用户浏览器会话中执行任意脚本代码。

解决方案

升级到供应商公告中提及的 McAfee Email Gateway 版本 7.6.404。

另见

https://kc.mcafee.com/corporate/index?page=content&id=SB10153

插件详情

严重性: Medium

ID: 90835

文件名: mcafee_email_gateway_SB10153.nasl

版本: 1.7

类型: local

发布时间: 2016/5/2

最近更新时间: 2020/9/18

配置: 启用偏执模式

风险信息

VPR

风险因素: Low

分数: 3

CVSS v2

风险因素: Medium

基本分数: 4.3

时间分数: 3.7

矢量: AV:N/AC:M/Au:N/C:N/I:P/A:N

时间矢量: E:H/RL:OF/RC:C

CVSS 分数来源: CVE-2016-3969

CVSS v3

风险因素: Medium

基本分数: 6.1

时间分数: 5.3

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

时间矢量: E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/a:mcafee:email_gateway

必需的 KB 项: Host/McAfeeSMG/name, Host/McAfeeSMG/version, Host/McAfeeSMG/patches, Settings/ParanoidReport

易利用性: No exploit is required

补丁发布日期: 2016/3/30

漏洞发布日期: 2016/3/30

参考资料信息

CVE: CVE-2016-3969

MCAFEE-SB: SB10153

IAVA: 2016-A-0117-S