По материалам - Critical PHPMailer Flaw leaves Millions of Websites Vulnerable to Remote Exploit
автор: Mohit Kumar December 26, 2016
http://thehackernews.com/2016/12/phpmailer-security.html
Критическая уязвимость обнаружена в почтовом скрипте PHPMailer – самой популярной open source библиотеки для отправки электронной почты, которую применяют более 9 миллионов пользователей по всему миру. Миллионы PHP-сайтов и веб приложений с открытым кодом - Drupal, 1CRM, SugarCRM, Yii, Joomla и др. - поставляются с библиотекой PHPMailer, использующей различные методы для отправки емайл, включая метод SMTP.
Обнаруженная польским исследователем безопасности, членом движения Legal Hackers Дэвидом Голунски, критическая уязвимость (CVE-2016-10033) позволяет взломщику удаленно выполнить произвольный код в серверной среде и поставить по угрозу атакуемое приложение.
«Чтобы воспользоваться этой уязвимостью хакер может атаковать такие общие компоненты веб-сайтов как контактные формы, регистрационные форма, формы сброса паролей и другие, которые отправляют емайл с помощью уязвимой версии класса PHPMailer», - пишет Голунски.
Голунски проинформировал об уязвимости разработчиков, которые устранили уязвимость в новой версии PHPMailer 5.2.18. Все версии PHPMailer ниже 5.2.18 являются опасными. Веб администраторам и разработчикам настоятельно рекомендуется провести обновление библиотеки до пропатченного релиза 5.2.18.
С момента первой публикации The Hacker News касающейся обнаружения этой уязвимости и пока миллионы сайтов остаются необновленными, исследователь сохранял в тайне технические детали ошибки. Однако Голунски обещал сообщить больше технических подробностей об этой уязвимости в ближайшие дни, включая примерный код для взлома и видео демонстрацию, которая покажет атаку в действии.
Недавно мистер Голунски опубликовал PoC код демонстрирующий использование уязвимости в PHPMailer хакерами.
По словам Голунского успешное выполнение вредоносного кода могло бы позволить злоумышленнику получить удаленный доступ к серверу в среде аккаунта web-сервера, что могло бы дать ему полный контроль над web приложением.
Вместе с тем сообщество Joomla! Developer Network™ распространило сообщение, в котором утверждается, что пользователям CMS Joomla! нет необходимости делать что-либо в связи с обнаруженной уязвимостью. Новая версия J3.7 будет содержать обновленный PHPMailer 5.2.20.
Пока же в текущей версии 3.6.5 существует механизм, предупреждающий использование этой уявимости.