博客

29 十二月 2016

PHP梅勒自由杀死网站每分钟你不读这篇文章

/
发布者

PHPMailer完成了令人难以置信的远程代码执行无防御功能,它是苔藓橡木中广泛使用的PHP电子邮件发送库中的佼佼者,它可能会设置数百万个站点,从而引发黑客攻击。

可能已经发现了一个不完美的问题:一个名为Dawid Golunski的安全专家。在PHPMailer 5中可能已经包含了更多启动修复程序。 2。 18,本周六可能已经出院。 然而,事实证明,patavium可能已经不足,而且可能会被绕过。

PHPMailer库可以通过暗示交替使用最终Tom正在仔细阅读大量内容监督经济框架(CMS),包括WordPress,Joomla还Drupal。 图书馆可能不包括的地方以前,他们的中心代码,它将倾向于可访问关于插图一个单独的模块可以与第三方附加组件一起打包。

因此,这些缺陷的摇摆camwood从网站与网站开始不同。 例如,那些Joomla安全合作决定了那些依赖于PHPMailer的Joomla JMail类需要额外的验证,以确定利用无助的不合逻辑。

缺陷将被启动对吹风机接收发件人电子邮件地址信息也可能允许攻击者将注入可能在设置sendmail项目时在Web服务器上执行的shell命令。

然而,严重的滥用行为迫使网站上的网络表现附近PHPMailer将发送消息的工作也允许输入自定义发件人电子邮件位置 - 来自电子邮件标题中的位置。 通常这样的配置是不正常的,通常在Web表现上带来发送者电子邮件预定义也最好的许可客户应该信息他们的电子邮件地址同样作为受益人。

“发送邮件的中心Joomla API中的所有位置都使用了全球设置中设置的发件人地址。此外,如果有机会位于其他位置,则不会考虑客户信息,”Joomla安全合作报告称。 “但是,对于PHPMailer的差异化改编包含的扩展不会将Joomla API与发送电子邮件一起使用,如果出现此问题,可能会有机会无法自卫。 “。
WordPress的开发人员得出了一个比较性的结论,并指出他们自己的bug跟踪器内部wp_mail()工作使用的WordPress中心代码可能不会受到影响,它不会利用无能为力的PHPMailer特性。 有效地使用wp_mail()的第三方插件应该假设不会受到影响,但是特定插件的影响可能目前正在审查之中。

“即将到来的4。 7。 1的到来将为这些问题带来许多缓解,“WordPress首席设计师Dion Hulse说道。 “我们只提交了WordPress的安全库 - 无论如何我们是否使用了这个特性。 “。
Drupal安全组同样为这个问题制定了一份安全报告。尽管Drupal中心代码不会受到影响,但最后还是要检查它是否至关重要。最终汤姆正在仔细研究这些不完善之处。

“鉴于这个问题令人惊讶的重要性及其出院的时间安排,我们发布的一般人口管理出版物可能会影响Drupal网站维护者,”这些合作说。

关于介绍性解决方案被绕过并且一般人口滥用代码可能是可用的,那些手无寸铁需要零日状态 - 它将被公开引用和未修补。 此外,直接结果这些影响因网站而异,依赖于PHPMailer的使用方式,网站管理员的简单方法不会在没有仔细评估的情况下解决问题。

假设他们直接使用PHPMailer以前,他们的网站的代码,他们应该尽快检查最新的patchcord的库,并尽快排出。 他们应该进一步支持还要弄清楚是否为他们的网站的联系,反馈,注册,电子邮件重置等等。此外,不同类型传达消息,以帮助PHPMailer的无防御性演绎更多假设一个可能的攻击者可以信息那些发件人电子邮件位置。

在他们使用物质管理框架时,他们应该进一步加强对其帮助网站的权衡,以确定其影响是否与默认设置一致。 在那之后,他们应该评估那些对任何人的影响。在任何第三方插件中,或者他们需要引入的模块也可以自己使用PHPMailer。

GTranslate Your license is inactive or expired, please subscribe again!