📖 概述

CVE-2026-28289，别名为 Mail2Shell，是一个影响 FreeScout 的**严重零点击远程代码执行（RCE）**漏洞。

攻击者可以向 FreeScout 邮箱发送一封特制邮件，从而在无需身份验证、无需用户交互的情况下获得底层服务器的远程 shell 访问权限。

🧠 漏洞摘要

⚙️ 技术详解

📨 第 1 步 —— 投递恶意邮件

攻击者发送一封带有特制附件的邮件。

🧩 第 2 步 —— 绕过文件名清理

FreeScout 尝试阻止 .htaccess 等危险文件，但攻击者：

• 在文件名的前面添加零宽 Unicode 字符
• 绕过文件名验证
• 文件以合法的可执行服务器文件形式被保存

💣 第 3 步 —— 远程执行

攻击者通过 Web 路径访问上传的文件并执行任意命令。

结果：

# Remote shell access achieved
whoami
www-data

✅ 如果操作成功，以下是你会看到的确切内容（逐步说明）：

1. 在你的终端中（刚运行脚本后）

✅ Email sent successfully! (Zero-Click RCE triggered)

你还会看到打印出的后续步骤说明。

2. 当你通过 SSH 在 FreeScout 服务器上运行 find 命令时

它会立即返回上传文件的完整真实路径，例如：

/var/www/html/storage/attachment/2026/03/05/15/webshell.txt

（或类似的日期/时间文件夹 —— 这确认 FreeScout 已自动保存了附件）。

3. 真正的成功证明 —— 在你的浏览器中（这是你确知自己拥有完整 RCE 的时刻）

复制第 2 步中的路径并打开此 URL：

http://your-freescout-domain.com/storage/attachment/2026/03/05/15/webshell.txt?cmd=whoami

你会看到以下确切输出（纯文本）：

www-data

（或服务器上 Apache/PHP 运行用户的名称 —— 通常是 www-data、apache 或 nobody）。

现在更改命令并刷新：

http://your-freescout-domain.com/storage/attachment/2026/03/05/15/webshell.txt?cmd=id

你会看到：

uid=33(www-data) gid=33(www-data) groups=33(www-data)

如果是 ls -la：

total 12
drwxr-xr-x 2 www-data www-data 4096 Mar  5 15:00 .
drwxr-xr-x 8 www-data www-data 4096 Mar  5 14:00 ..
-rw-r--r-- 1 www-data www-data   87 Mar  5 15:00 webshell.txt

此输出会直接出现在浏览器页面中（位于 webshell 输出的 <pre> 标签内）。没有错误、没有 PHP 源码、没有 404。

这意味着你已获得服务器上的完整远程代码执行能力 —— .htaccess + 零宽空格绕过完美生效，并且电子邮件附件在无需任何用户交互的情况下被处理。

🎯 为什么这很危险

• ⚡ 零点击利用
• 🌐 远程攻击面（电子邮件）
• 🔓 无需身份验证
• 🧨 完整的 RCE 能力
• 📂 潜在的数据外泄
• 🔁 内网横向移动

📦 受影响版本

FreeScout 的所有版本：

<= 1.8.206

✅ 已修复版本

请立即升级到：

1.8.207 or later

🛡️ 缓解措施

1️⃣ 立即行动

• 将 FreeScout 升级到最新版本

2️⃣ 加固 Web 服务器

• 在 Apache 配置中禁用 AllowOverride All
• 限制附件目录中的执行权限

3️⃣ 监控日志

查找：

• 可疑的 .htaccess 文件
• 异常的附件上传
• 对 /storage/attachments/ 的直接访问尝试

🔍 检测建议

失陷指标可能包括：

• 附件文件夹中出现未知的 .htaccess 文件
• 出站流量激增
• Web 服务器派生出 shell 进程
• 对附件路径的可疑 POST/GET 请求

🧪 概念验证（概念性）

Email → Malicious Attachment (Unicode prefixed filename)
        ↓
Saved to predictable path
        ↓
Web-accessible execution
        ↓
Remote shell

📌 相关漏洞

此问题绕过了以下版本中添加的防护：

• CVE-2026-27636

这表明文件名清理逻辑不完整。

📊 影响评估

🧩 经验教训

• Unicode 处理必须在验证前进行规范化
• 切勿仅依赖文件名过滤
• 附件目录绝不应允许代码执行
• 零点击攻击向量是高风险的攻击面

📚 参考资料

• FreeScout 安全公告
• CVE-2026-28289 的 NVD 条目