A PHPMailer érzékeny a távoli kizsákmányolásokra kritikus hiba miatt

PHPMailer, az egyik leginkább népszerű nyílt forráskódú PHP könyvtárak használhatók ma, saját problémáival szembesült, hiszen a lengyel biztonsági kutató, Dawid Golunski a Legal Hackers-nek van olyan kritikus biztonsági rést fedezett fel, amely érzékeny a távoli kihasználásra.

A kérdéses sebezhetőség sajátosságait (CVE-2016-10033) még nem kell feltárni, mint Golunski technikai részletek megtartása a hibáról a PHPMailer elterjedtsége miatt.

Golunski azonban feltárta a hiba jellegét, és úgy tűnik, hogy a hiba lenne lehetővé teszi, hogy a támadó tetszőleges kódot hajtson végre távoli módon a webszerver összefüggésében. Ez veszélyeztetné a cél webes alkalmazást.

Annak érdekében, hogy kihasználhassa ezt a sebezhetőséget, a támadó célozza meg a weboldal összetevőit, amelyek e-maileket küldenek a PHPMailer osztály sebezhető verziójának segítségével. Ilyen komponensek közé tartoznak például a kapcsolati vagy visszajelzési űrlapok, a regisztrációs űrlapok, a jelszó email visszaállítása és sok más.

Szerencsére a Golunski ezt a biztonsági rést jelentette a PHPMailer fejlesztőinek, és a fejlesztők a PHPMailer 5.2.18. Mivel a biztonsági rés, a webadminisztrátorok és a fejlesztők a PHPMailer 5.2.18 előtti összes verzióját érintik, a lehető leghamarabb frissíteniük kell a PHPMailert.

Forrás: The Hacker News