PHPMailer náchylný k vzdáleným zneužití díky kritické chybě

PHPMailer, jeden z nejvíce populární open source PHP knihovny používané dnes, má své vlastní problémy, jak má polský bezpečnostní výzkumník Dawid Golunski z právní hackerů objevila kritickou zranitelnost, která ji ponechává citlivou na vzdálené využití.

Specifika této zranitelnosti (CVE-2016-10033) zatím nebyla odhalena, protože Golunski je odepření technických podrobností o závadě vzhledem k tomu, jak převládá PHPMailer.

Golunski však odhalil podstatu vady a zdá se, že vada by umožnit útočníkovi provádět libovolný kód vzdáleně v kontextu webového serveru. To by pak ohrozilo cílovou webovou aplikaci.

Aby útočník tuto zneužití zneužil, útočník by to udělal cílové webové stránky, které odesílají e-maily pomocí zranitelné verze třídy PHPMailer. Mezi tyto komponenty patří například kontaktní či zpětné vazby, registrační formuláře, resetování e-mailových hesel a mnoho dalších.

Golunski naštěstí tuto chybu oznámil vývojářům PHPMailer a vývojáři od té doby opravili uvedenou chybu zabezpečení pomocí PHPMailer 5.2.18. Vzhledem k tomu, že tato chyba zabezpečení se týká všech verzí programu PHPMailer předcházející 5.2.18, měli by weboví administrátoři a vývojáři aktualizovat svůj PHPMailer co nejdříve.

Zdroj: The Hacker News