Blog

29 Decembris 2016

PHP Mailer Liberaries Katru minūti jūs nogalina vietni, kurā neesat izlasījis šo rakstu

/
rakstīja

Nepārliecināts attālās koda izpildes aizsargātība veikts PHPMailer, standout starp mossycup ozols plaši izmanto PHP e-pasta sūtīšanu bibliotēkas, var noteikt miljoniem vietņu Bīstamību, pieprasot uzlaušanu.

Nepilnība varētu būt atrasta Ceļā uz drošības speciālistu vārdā Dawid Golunski. Sākotnēja labošana varētu būt iekļauta PHPMailer 5. 2. 18, kas varētu būt izlādējies sestdienā. Tomēr izrādās, ka pataviums varētu būt nepietiekams, turklāt to varētu apiet.

PHPMailer bibliotēka var tikt izmantota tieši pārmaiņus netieši. Galu galā Toms uztver ievērojamu skaitu satura pārraudzīt ekonomikas sistēmas (CMS), tostarp WordPress, Joomla Arī Drupal. Vieta, kur bibliotēka var nebūt iekļauta. Iepriekš to centra kods būs sasniedzams. Attiecībā uz ilustrāciju Atsevišķu moduli pārmaiņus var iepakot ar trešo pušu pievienojumprogrammām.

Sakarā ar to, šīs plaisātās kumodes ir atšķirīgas, sākot no tīmekļa vietnes ar tīmekļa vietni. Piemēram, šī sadarbība drošības jomā Joomla deva priekšstatu, ka tiem Joomla JMail klases, kas ir atkarīgs tikai no PHPMailer, ir nepieciešamas papildu validācijas, kas apzinās nelikumīgās izmantošanas neloģisko izmantošanu.

Neveiksmība tiks uzsākta Lai uzlabotu sūtītāja e-pasta adrešu informācijas pieņemšanu. Iespējams, ka uzbrucējs var ievadīt komandas, kuras var tikt izpildītas tīmekļa serverī, izmantojot sendmail projektu.

Tomēr liela ļaunprātīga izmantošana uzliek tām tīmekĜa izpausmes atrašanos vietnē, kurā nodarbinātība PHPMailer sūtīs īsziņas. Arī Ĝauj ievadīt pielāgotu sūtītāja e-pasta adresi - atrašanās vietu, kas parādās e-pasta galvenē. Tās nav saprātīgi, cik regulāri ir šādas konfigurācijas, parasti interneta izpausmēs tiek sūtīts e-pasts iepriekš definēts Arī vislabāk ļauj klientiem būtu informācija viņu e-pasta adresi Līdzīgi kā saņēmējs.

"Visi punkti centrālajā Joomla API, kas sūta vēstules, izmanto vispasaules iestatījumā noteikto sūtītāja adresi. Turklāt neuzskata, ka klienta informācijai būtu iespēja būt citur," teikts Joomla drošības sadarbībā ziņojumam. "Tomēr, paplašinājumi, kas iepakojumā Atšķirīgu pielāgošanu PHPMailer pārmaiņus neizmanto Joomla API ar sūtīt e-pastu varētu būt iespēja būt neaizsargāts, ja šī problēma. "
WordPress izstrādātāji ieradās salīdzinošā secībā, norādot uz savu kļūdu izsekotāja, ka iekšējais wp_mail () darbs, ko izmanto uz WordPress centra kodu, var neietekmēt, tas neizmanto bezspēcīgo PHPMailer raksturpazīmi. Efektīvi hipotētiski nevajadzētu ietekmēt arī trešo pušu spraudņus, kas izmanto wp_mail (), bet pašlaik tiek pārbaudīti konkrētu spraudņu izmantošana.

"Tuvojas 4. 7. 1 ierašanās atradīs daudzus atvieglojumus šiem jautājumiem, "teica WordPress vadošais dizaineris Dions Hulss. "Mēs esam iesniegti tikai ar piegādes drošības bibliotēkām WordPress - jebkurā gadījumā, ja mēs izmantojam raksturojumu vai nē. "
Drupal drošības grupa tāpat ir izklāstījusi drošības ziņojumu šim jautājumam. Vēl vairāk to pārbauda kā kritisku, neraugoties uz to, ka Drupal centra kodu neietekmē. Galu galā Toms uztver šo nepilnību.

"Ņemot vērā šī jautājuma apbrīnojamo kritisko nozīmi un laika posmu, kas saistīts ar budžeta izpildi, mēs izsludinām vispārēju iedzīvotāju administrācijas publikāciju ar piesardzību, iespējams, ietekmējot Drupal vietņu uzturētājus", teica šī sadarbība.

Uz ieejas norēķinu kameru var apiet un vispārējs ļaunprātīgas izmantošanas kods var būt pieejams, šīm neaizsargātībām ir nepieciešams nulles dienas statuss - tas tiks publiski saukts un neatbrīvots. Turklāt tiešais rezultāts, šī ietekme atšķiras no vietnes uz vietni, balstoties uz to, kā PHPMailer var tikt izmantots, tur nav vienkāršas pieejas tīmekļa pārziņiem, atbrīvos šo problēmu bez rūpīga novērtējuma.

Pieņemot, ka viņi izmanto PHPMailer vienkāršā Iepriekš, viņu mājas lapas kodu, viņiem vajadzētu pārveidot pēdējā patchcord bibliotēku, lai tiktu ātri rediģēts tāpat kā tā izlaista. Viņiem vajadzētu vēl vairāk nostiprināt, lai noskaidrotu, vai neatkarīgi no viņu vietnes sazināšanās, atsauksmju, reģistrācijas, e-pasta atiestatīšanas. Turklāt dažādi veidi sniedz ziņojumus par šo bezatteices PHPMailer pārsūtīšanas palīdzību. Vēl vairāk, pieņemot, ka Iespējas uzbrucējs varētu informēt šo sūtītāja e-pasta adresi.

Viņiem, izmantojot vielu pārvaldības sistēmu, viņiem vajadzētu vēl vairāk nosvērt palīdzības tīmekļa vietni, lai noskaidrotu, vai tā ietekme ir bijusi līdzās noklusējuma iestatījumam. Pēc tam viņiem būtu jāpārbauda, ​​kādi ir trešo pušu spraudņi, kurus tie ieviesuši alternatīvi, arī tiem, kas varētu izmantot PHPMailer atsevišķi.

Atstāj atbildi

 
GTranslate Please upgrade your plan for SSL support!
GTranslate Your license is inactive or expired, please subscribe again!