来源

secunia.com

软件

MDaemon 11.x

描述

处理邮件列表的订阅请求时有一个输入的验证错误，这可通过在话题的目录发送email到包含遍历攻击次序的"SUBSCRIBE"的"MDaemon"账户以泄露任意的当前文件
成功执行需要在当前系统的已知位置处放一个恶意的".grp"文件
该漏洞在V11.0.1中已经确认，其它版本可能也受到影响

解决方案

拒绝从不可信源中接收订阅信息