CVE:CVE-2008-1054
CNNVD:CNNVD-200802-488
NetWin SurgeMail是新西兰NetWin公司的一款下一代电子邮件服务器。该服务器支持IMAP、POP3、SMTP等协议，并提供邮件杀毒、垃圾邮件过滤、邮件备份等功能。
SurgeMail中用于处理CGI可执行程序的函数中存在缓冲区溢出漏洞，远程攻击者可能利用此漏洞控制服务器。
当服务器接收到对CGI(如webmail.exe，但不是类似于user.cgi、admin.cgi的.cgi虚拟文件)的HTTP请求时，会使用大约20000字节存储所有传送给所调用程序的环境字符串。客户端在请求中所传送的HTTP字段执行了截尾操作，然后添加到环境变量(HTTP_parameter=value)。由于对这个环境缓冲区缺少检查，如果用户提交了超长请求的话就可能触发缓冲区溢出，导致控制某些寄存器，并可能执行任意指令。surgemail和swatch(7027端口)都受这个漏洞的影响。
solution:Upgrade netwin surgemail to a higher version than 1.8a,1.8b3,1.8d,1.8e,1.8g3,1.9,1.9b2,2.0a2,2.0c,2.0e,2.0g2,2.1a,2.1c7,2.2a6,2.2c9,2.2c10,2.2g2,2.2g3,3.0a,3.0c2,3.1s,3.8f3,3.8i,3.8i2,3.8i3,38k,38k4,and avoid the version 1.8a,1.8b3,1.8d,1.8e,1.8g3,1.9,1.9b2,2.0a2,2.0c,2.0e,2.0g2,2.1a,2.1c7,2.2a6,2.2c9,2.2c10,2.2g2,2.2g3,3.0a,3.0c2,3.1s,3.8f3,3.8i,3.8i2,3.8i3,38k,38k4