PHPMailer jest podatny na zdalne exploity z powodu krytycznej luki

PHPMailer, jeden z najbardziej popularne biblioteki PHP open source używane obecnie, wpadł na własne problemy, jak ma to miejsce polski badacz bezpieczeństwa Dawid Golunski z Legal Hackers odkrył krytyczną lukę, która pozostawia ją podatną na zdalne exploity.

Specyfika omawianej luki (CVE-2016-10033) nie została jeszcze ujawniona, ponieważ Golunski jest zatajenie szczegółów technicznych dotyczących usterki ze względu na powszechność PHPMailera.

Gołunski ujawnił jednak naturę tej wady i wydaje się, że wada powinna pozwala atakującemu na zdalne wykonanie dowolnego kodu w kontekście serwera WWW. Spowodowałoby to złamanie docelowej aplikacji internetowej.

Aby wykorzystać tę konkretną lukę, atakujący to zrobi kieruj na strony internetowe, które wysyłają wiadomości e-mail za pomocą podatnej na ataki wersji klasy PHPMailer. Do takich elementów należą takie rzeczy jak formularze kontaktowe lub zwrotne, formularze rejestracyjne, resetowanie haseł e-mail i wiele innych.

Na szczęście Golunski zgłosił tę lukę twórcom PHPMailera i programiści od tamtej pory załatali tę lukę za pomocą PHPMailer 5.2.18. Ponieważ ta luka dotyczy wszystkich wersji PHPMailera wcześniejszych niż 5.2.18, administratorzy sieci i programiści powinni jak najszybciej zaktualizować swój PHPMailer.

Źródło: The Hacker News