對於負責維運或開發的工程師來說，電子郵件閘道器（Email Gateway 是企業網路的門神，負責過濾垃圾郵件與惡意攻擊。然而，如果這個門神本身存在漏洞，它將從保護者變成攻擊者進入內網的跳板。近期 InfoGuard Labs 揭露了 SEPPMail Secure E-Mail Gateway 的多項嚴重漏洞，其中最值得關注的是攻擊者如何將多個低級漏洞串聯，最終達成完全控制系統的遠端程式碼執行 RCE。
理解 RCE 與路徑穿越的實務影響
在這次的漏洞分析中，頻繁出現兩個關鍵術語：RCE 與 Path Traversal。
RCE 全稱 Remote Code Execution，即遠端程式碼執行。這是安全漏洞中最危險的類型，允許攻擊者在不需要實體接觸設備的情況下，透過網路發送特定指令，讓目標伺服器執行任意程式碼。一旦達成 RCE，攻擊者就等同於擁有了該伺服器的操作權限。
Path Traversal 則稱為路徑穿越或目錄遍歷。這類漏洞通常發生在程式處理檔案路徑時，沒有對使用者輸入的檔名進行嚴格檢查。攻擊者可以使用 ../ 這種特殊符號，跳出原有的預設資料夾，去讀取或寫入系統中的敏感檔案（例如 /etc/passwd 或設定檔）。
SEPPMail 的攻擊鏈分析：從寫入檔案到控制系統
在 CVE-2026-2743 這個漏洞中，研究人員展示了一個非常經典的攻擊鏈。單純能寫入一個檔案並不一定能立刻執行程式碼，因為大多數系統會限制權限。
首先，攻擊者利用路徑穿越漏洞，以 nobody 使用者的低權限身分，將惡意內容寫入系統的 syslog 設定檔 /etc/syslog.conf。
接著，面臨一個技術挑戰：系統設定檔被修改後，後台服務 syslogd 並不會立即生效，它需要接收到一個 SIGHUP 信號（一種告知程序重新讀取設定的 Linux 系統信號）才會重新載入配置。
為了觸發這個信號，攻擊者利用了系統的日誌輪替機制 newsyslog。該機制每 15 分鐘執行一次，當日誌檔案超過特定大小（例如 10,000 KB）時，會自動進行輪替並發送 SIGHUP 給 syslogd。攻擊者只需不斷發送大量的 Web 請求來撐爆日誌檔，強迫系統觸發輪替機制，進而讓惡意設定生效。
最終，攻擊者成功獲取了一個基於 Perl 的反向 Shell（Reverse Shell），讓遠端伺服器主動連回攻擊者的電腦，從而完全掌控該設備，能夠監控所有經過的郵件流量，甚至將其作為滲透企業內網的跳板。
其他高風險漏洞概覽
除了上述複雜的攻擊鏈，SEPPMail 還存在其他直接且危險的漏洞：
CVE-2026-44128 屬於 Eval Injection 注入漏洞。程式將使用者輸入的參數直接傳遞給 Perl 的 eval() 函數執行，而沒有經過任何過濾（Sanitization）。這就像是直接把外來者的指令交給系統執行，是極其嚴重的設計錯誤。
CVE-2026-44126 涉及不安全的反序列化（Insecure Deserialization）。當程式將接收到的數據流還原成物件時，如果沒有驗證數據來源，攻擊者可以構造特殊的序列化物件，在還原過程中觸發惡意代碼執行。
CVE-2026-44125 則是典型的權限驗證缺失（Missing Authorization）。部分 API 接口在執行敏感操作前沒有檢查使用者是否已登入或擁有足夠權限，導致未經認證的遠端攻擊者可以直接調用管理功能。
工程實務建議與修補路徑
面對這類設備漏洞，工程師應採取以下應對措施：
第一，立即更新版本。官方已在 15.0.2.1、15.0.3 及 15.0.4 等版本中修補上述漏洞。請務必確認設備版本已更新至最新狀態。
第二，實施最小權限原則。在這次案例中，nobody 使用者竟然有權限寫入 /etc/syslog.conf，這在嚴格的系統安全設定中是不應該發生的。檢查系統檔案權限，確保 Web 服務帳號無法修改系統關鍵設定。
第三，嚴格過濾輸入。所有來自使用者的輸入，無論是路徑名稱還是參數，都必須經過白名單過濾或適當的轉義處理，絕對禁止將使用者輸入直接傳入 eval() 或類似的動態執行函數中。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。