【资讯处-转知】 (ANA事件单通知:TACERT-ANA-2023032110030101)(【漏洞预警】网擎资讯Mail2000电子邮件系统存在安全漏洞，允许攻击者以XSS跨站脚本与复合式攻击窃取使用者机敏资讯，请尽速确认并进行更新！)

2023-03-23
漏洞预警

发布编号：TACERT-ANA-2023032110030101

发布时间：2023-03-21 10:38:02

事故类型：ANA-漏洞预警

发现时间：2023-03-21 09:50:02

影响等级：中

[主旨说明:]

【漏洞预警】网擎资讯Mail2000电子邮件系统存在安全漏洞，允许攻击者以XSS跨站脚本与复合式攻击窃取使用者机敏资讯，请尽速确认并进行更新！

[内容说明:]

转发国家资安资讯分享与分析中心 NISAC-ANA-202303-1085

本院近期发现网擎资讯Mail2000电子邮件系统存在安全漏洞，允许攻击者以XSS跨站脚本与复合式攻击窃取使用者机敏资讯。攻击者将前述漏洞之攻击程式码注入社交工程邮件，并寄发至受影响之Mail2000电子邮件系统，当使用者透过Webmail开启社交工程邮件，将触发XSS跨站脚本攻击并连线至外部含恶意程式码之网页，导致使用者遭窃取个人机敏资讯，包含Cookie资讯、帐号身份相关资讯及电子邮件档案等。

[影响平台:]

Mail2000 V7(含)以前版本

[建议措施:]

1. 目前网擎资讯官方已针对此漏洞释出程式更新公告，请各单位尽速联系Openfind 技术服务团队或维护厂商，参考以下连结进行更新：https://www.openfind.com.tw/taiwan/resource.html

2. 建议使用Mail2000电子邮件系统之单位，采用支援内容安全策略(Content Security Policies, CSP)之浏览器访问Webmail，以缓解XSS跨站脚本攻击。

3. 已知支援CSP之浏览器版本如下：

● Chrome 59(含)版本以上

● Edge 79(含)版本以上

● Safari 15.4(含)版本以上

● Firefox 58(含)版本以上

[参考资料:]

1. https://www.openfind.com.tw/taiwan/resource.html