
MDaemon アドバイザリ - CVE-2021-27180, CVE-2021-27181, CVE-2021-27182, CVE-2021-27183
MDaemon アドバイザリ:
CVE-2021-27180 (反射型XSS)
CVE-2021-27181 (CSRFトークン固定化)
CVE-2021-27182 (iframeインジェクション)
CVE-2021-27183 (リモートコード実行)
これらの脆弱性は2021年1月にすでに修正されており、CVE登録の目的で公開されています。これらを連鎖させることで、メールメッセージを介したRCE/アカウント乗っ取りを達成できます (ユーザーの操作が必要)。
タイムライン:
2020年12月15日: ベンダーに脆弱性レポートを送付
2021年1月12日: パッチ公開
パッチノート:
https://www.altn.com/Support/SecurityUpdate/MD011221_MDaemon_EN/
MDaemon Technologies の迅速な修正と良好な協力に感謝いたします。 :)