开发者社区> 问答> 正文

【漏洞公告】PHPMailer曝远程代码执行高危漏洞(CVE-2016-10033)

正禾 2016-12-27 18:04:31 2833
近日,波兰研究人员 Dawid Golunski 发现了一个存在于PHPMailer中的严重远程代码执行漏洞。该漏洞在昨天的legalhackers.com上公布,但漏洞利用细节的概念验证并未包括在内。
漏洞具体详情如下:
  


漏洞编号: CVE-2016-10033


漏洞描述:
远程攻击者利用该漏洞,可实现远程任意代码在web服务器账户环境中执行,并使web应用陷入威胁中。攻击者主要在常见的web表单如意见反馈表单,注册表单,邮件密码重置表单等使用邮件发送的组件时利用此漏洞。 官方评级:高危 漏洞危害: 该漏洞由于发件人的电子邮件地址在传输时没有转义为shell命令,攻击者就可以在发件人的电子邮件中增加shell命令以便在目标机器或网站上执行恶意代码。 漏洞利用条件: 可以实现远程利用。 该漏洞利用依赖 ssh-agent ,这个进程默认不启动、只在多主机间免 密码 登录时才会用到,漏洞利用条件也比较苛刻,



漏洞影响范围:
影响范围包括WordPress、Drupal、1CRM、Joomla!等开源CMS使用该组件。
PHPMailer(PHPMailer < 5.2.18)版本


漏洞修复建议(或缓解措施):
更新到5.2.18: https://github.com/PHPMailer/PHPMailer


情报来源:
https://github.com/PHPMailer/PHPMailer/blob/master/changelog.md
https://github.com/PHPMailer/PHPMailer/blob/master/SECURITY.md
http://www.secye.com/Network/loudongbuding/10345.html
安全 Shell 数据安全/隐私保护
分享到
取消 提交回答
全部回答(0)
+ 订阅

云安全开发者的大本营

推荐文章
相似问题
推荐课程