一、 漏洞 CVE-2016-4028 基础信息
漏洞标题
N/A
来源：AIGC 神龙大模型
漏洞描述信息
在Open-Xchange OX Guard 2.4.0-rev8之前发现了一个问题。OX Guard 使用一个身份验证令牌来识别和传输来宾用户的凭据。OX Guard API 作为填充oracle，根据提供的令牌是否匹配加密填充，以不同的错误代码作出响应。与 AES-CBC 结合，这使攻击者可以猜测正确的填充。攻击者可以对来宾身份验证令牌的内容进行尝试性攻击，以发现用户凭据。对于实际的攻击路径，来宾用户需要进行登录，攻击者需要知道来宾用户 " OxReaderID" cookie 的内容以及 "auth" 参数的值。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:H
来源：AIGC 神龙大模型
漏洞类别
N/A
来源：AIGC 神龙大模型
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
An issue was discovered in Open-Xchange OX Guard before 2.4.0-rev8. OX Guard uses an authentication token to identify and transfer guest users' credentials. The OX Guard API acts as a padding oracle by responding with different error codes depending on whether the provided token matches the encryption padding. In combination with AES-CBC, this allows attackers to guess the correct padding. Attackers may run brute-forcing attacks on the content of the guest authentication token and discover user credentials. For a practical attack vector, the guest users needs to have logged in, the content of the guest user's "OxReaderID" cookie and the value of the "auth" parameter needs to be known to the attacker.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Open-Xchange OX Guard 信息泄露漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Open-Xchange OX Guard是美国Open-Xchange公司的一套针对电子邮件和文件的安全防护软件。 Open-Xchange OX Guard 2.4.0-rev8之前的版本中存在安全漏洞。攻击者可利用该漏洞发起暴力解码攻击，获取用户证书。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2016-4028 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2016-4028 的情报信息