關於PHPMailer漏洞情況的通報

本文講的是 關於PHPMailer漏洞情況的通報，近日，國家資訊保安漏洞庫（CNNVD）收到多個關於“PHPMailer”漏洞情況的報送。先是編號為CNNVD-201612-675的“PHPMailer輸入驗證漏洞”，2016年12月24日，PHPMailer官方針對該漏洞釋出修復補丁，但安全人員發現該補丁未能完全修復該漏洞，從而導致新的輸入驗證漏洞產生（CNNVD-201612-755）。為此，12月28日，PHPMailer官方再次針對新漏洞釋出修復補丁。由於上述漏洞影響範圍廣，危害級別高，國家資訊保安漏洞庫（CNNVD）對此進行了跟蹤分析，情況如下：

一、 漏洞簡介

PHPMailer是一個用於傳送電子郵件的PHP類庫。WordPress、Drupal、1CRM、SugarCRM、Yii、Joomla!、thinkphp等都預設呼叫了該類庫。

PHPMailer 5.2.18之前的版本中存在輸入驗證漏洞（CNNVD-201612-675，CVE-2016-10033）。該漏洞源於類庫未對使用者輸入進行有效過濾，導致遠端攻擊者可利用該漏洞在Web伺服器中執行任意程式碼。

PHPMailer 5.2.20之前的版本中存在輸入驗證漏洞（CNNVD-201612-755，CVE-2016-10045）。該漏洞由於PHPMailer官方針對上述輸入驗證漏洞（CNNVD-201612-675，CVE-2016-10033）補丁中使用的過濾函式可被繞過，導致遠端攻擊者可利用該漏洞在Web伺服器中執行任意程式碼。

二、 漏洞危害

遠端未授權的攻擊者可通過輸入惡意構造的引數利用上述漏洞，在使用了該PHP類庫的Web伺服器中執行任意程式碼，可導致目標主機被完全控制。

三、 修復措施

目前，PHPMailer官方已針對上述漏洞釋出了修復版本，請受影響的使用者儘快升級至5.2.20及以上版本以消除漏洞影響。補丁獲取連結：

https://github.com/PHPMailer/PHPMailer/blob/master/changelog.md

本報告由CNNVD技術支撐單位——北京白帽匯科技有限公司提供支援。

CNNVD將繼續跟蹤上述漏洞的相關情況，及時釋出相關資訊。如有需要，可與CNNVD聯絡。

原文釋出時間為：十二月 30, 2016
本文作者：aqniu
本文來自雲棲社群合作伙伴安全牛，瞭解相關資訊可以關注安全牛
原文連結：http://www.aqniu.com/threat-alert/22056.html