• 请使用爱安全论坛账号登陆本站 :)
  • 关注i安全微信公众号(i_Safe)第一时间获取最新资讯、优质文章。
  • 广告投放、商务合作、寻求报道、问题咨询请以邮件方式发送至blue@ixsec.org
  •    3个月前 (12-27)  新闻 |   抢沙发  63 
    文章评分 2 次,平均分 5.0

    PHPMailer曝远程代码执行高危漏洞(CVE-2016-10033)

    PHPMailer曝远程代码执行高危漏洞(CVE-2016-10033)

    这次曝出远程代码执行漏洞的是堪称全球最流行邮件发送类的PHPMailer,据说其全球范围内的用户量大约有900万——每天还在持续增多。
    GitHub上面形容PHPMailer“可能是全球PHP发送邮件最流行的代码。亦被诸多开源项目所采用,包括WordPress、Drupal、1CRM、Joomla!等”。所以这个漏洞影响范围还是比较广的,漏洞级别也为Critical最高级。
    漏洞编码
    CVE-2016-10033
    影响版本
    PHPMailer
    漏洞级别
    高危
    漏洞描述
    独立研究人员Dawid Golunski发现了该漏洞——远程攻击者利用该漏洞,可实现远程任意代码在web服务器账户环境中执行,并使web应用陷入威胁中。攻击者主要在常见的web表单如意见反馈表单,注册表单,邮件密码重置表单等使用邮件发送的组件时利用此漏洞。
    不过有关该漏洞的细节信息,研究人员并未披露,期望给予网站管理员更多的时间来升级PHPMailer类,避免受漏洞影响。
    漏洞PoC
    实际上Dawid Golunski已经做了个可行的RCE PoC,不过会迟一些再发布。关注视频PoC请点击:https://legalhackers.com/videos/PHPMailer-Exploit-Remote-Code-Exec-Vuln-CVE-2016-10033-PoC.html
    漏洞修复
    更新到5.2.18:https://github.com/PHPMailer/PHPMailer
    漏洞详情目前已经提交给了PHPMailer官方——官方也已经发布了PHPMailer 5.2.18紧急安全修复,解决上述问题,受影响的用户应当立即升级。详情可参见:
    https://github.com/PHPMailer/PHPMailer/blob/master/changelog.md
    https://github.com/PHPMailer/PHPMailer/blob/master/SECURITY.md

    关注爱安全,营造优质网络环境

     

    除特别注明外,本站所有文章均为爱安全原创,转载请注明出处来自http://www.ixsec.org/news/1998.html

    关于

    发表评论

    暂无评论

    登录

    (可使用论坛帐号登录)

    忘记密码 ?

    切换登录

    注册

    扫一扫二维码分享