.NET Frameworkに潜む脆弱性「SMTPコマンド・インジェクション」とその対処法 - ＠IT

.NETセキュリティ .NET Frameworkに潜む脆弱性「SMTPコマンド・インジェクション」とその対処法 NTTコミュニケーションズ、セキュリティ・オペレーション・センター（SOC） 佐名木 智貴 2011/01/21 JISコードでエンコードされたメールを.NET Frameworkを用いて送信する際には、メール本文の作成にAlternateViewクラス（System.Net.Mail名前空間）を使う（.NET Framework 2.0以降で利用可能）。しかし、このAlternateViewクラスを使ったメール送信機能には、「SMTPコマンド・インジェクション（SMTP Command Injection）」の脆弱（ぜいじゃく）性が潜んでいることが判明したので、その内容と対策を解説する。 なお、本稿の内容は、2011年1月11日にNTTコミュニケーションズが公表した「.NET

[kkamegawa]

確認してないんですけど、.NET 4ならKB2402064のパッチで直りませんかね？KBみるとそれっぽいことが書いてますが。 http://bit.ly/e392Wl

[azumakuniyuki]

修正プログラムは提供されないそうで

[stealthinu]

「.」のエスケープ処理が抜けているためSMTPコマンドインジェクションが出来てしまう。うへぇ。というかよくこれ気がついたな。

[deep_one]

「修正プログラムを配布する予定はない」　えっ？／脆弱性以前にバグだよな。

[JULY]

「テキスト・ファイルによる一連のSMTPコマンドの一括指定」って、SMTP サーバからの応答を待たずに流し込む「行儀の悪いクライアント」になるだけで、それを「一般的なメールサーバであれば」というのはちょっとなぁ。

[kogawam]

MSに直してほしいやね

[s-tomo]

てっきり「.NET Framework」という文字列に脆弱性があるので他の環境でもインジェクションできてしまうのかと。

[tsupo]

.NET Framework の AlternateView クラスを使ったメール送信機能には、「SMTPコマンド・インジェクション」の脆弱性が潜んでいることが判明

[ygotouu]

smtp