PHP郵件Squirrelmail遠端程式碼執行漏洞CVE-2017-76921.4.22以下版本均受影響目前沒有補丁

攻擊者利用該漏洞可以越權執行任意程式碼，目前Squirrelmail 官方還沒有釋出相關修復補丁，但第三方提供了修復程式碼。綠盟科技釋出漏洞預警通告，全文如下

北京時間4月19日晚，Squirrelmail被爆出存在一個遠端程式碼執行漏洞（CVE-2017-7692，CNNVD-201704-561）。該漏洞是由於在傳遞一個字串給popen呼叫之前，沒有對其進行過濾和無害化處理。因此攻擊者有可能利用此漏洞在遠端伺服器上越權執行任意程式碼。該漏洞存在於initStream函式Deliver_SendMail.class.php中，它會使用escapeshellcmd()來過濾和無害化傳送郵件的命令。然而escapeshellcmd()並沒有對空格字元進行轉義，因此會觸發任意指令引數的注入。

相關地址：

https://www.wearesegment.com/research/Squirrelmail-Remote-Code-Execution.html

http://seclists.org/bugtraq/2017/Apr/60

Squirrelmail

SquirrelMail是以PHP編寫的基於標準的webmail包。 它為IMAP和SMTP協議提供了內建的純PHP支援，所有頁面都以純HTML 4.0格式呈現（不需要JavaScript），以便跨瀏覽器實現最大的相容性。 它的要求很少，配置和安裝非常簡單。 SquirrelMail具有您希望從郵件客戶端獲得的所有功能，包括強大的MIME支援，通訊錄和資料夾操作。

影響範圍

受影響的版本 Squirrelmail Version <= 1.4.22

不受影響的版本 Squirrelmail Version > 1.4.22

規避方案

目前Squirrelmail 官方還沒有釋出相關修復補丁，請使用者持續關注。

使用者可以使用該漏洞發現者提供的臨時補丁來修復，具體修復程式碼如下：

BOF

diff -ruN squirrelmail-webmail-1.4.22/class/deliver/Deliver_SendMail.class.php

squirrelmail-webmail-1.4.22-fix-CVE-2017-7692/class/deliver/Deliver_SendMail.class.php

--- squirrelmail-webmail-1.4.22/class/deliver/Deliver_SendMail.class.php  2011-01-06 02:44:03.000000000 +0000

+++ squirrelmail-webmail-1.4.22-fix-CVE-2017-7692/class/deliver/Deliver_SendMail.class.php  2017-04-18

11:42:26.505181944 +0000

@@ -93,9 +93,9 @@

         $envelopefrom = trim($from->mailbox.`@`.$from->host);

         $envelopefrom = str_replace(array(" ","
"),array(``,``),$envelopefrom);

         // save executed command for future reference

-        $this->sendmail_command = "$sendmail_path $this->sendmail_args -f$envelopefrom";

+        $this->sendmail_command = escapeshellcmd("$sendmail_path $this->sendmail_args -f") .

escapeshellarg($envelopefrom);

         // open process handle for writing

-        $stream = popen(escapeshellcmd($this->sendmail_command), "w");

+        $stream = popen($this->sendmail_command, "w");

         return $stream;

     }

EOF

參考連結：

https://www.wearesegment.com/research/Squirrelmail-Remote-Code-Execution.html

綠盟科技宣告

本安全公告僅用來描述可能存在的安全問題，綠盟科技不為此安全公告提供任何保證或承諾。由於傳播、利用此安全公告所提供的資訊而造成的任何直接或者間接的後果及損失，均由使用者本人負責，綠盟科技以及安全公告作者不為此承擔任何責任。綠盟科技擁有對此安全公告的修改和解釋權。如欲轉載或傳播此安全公告，必須保證此安全公告的完整性，包括版權宣告等全部內容。未經綠盟科技允許，不得任意修改或者增減此安全公告內容，不得以任何方式將其用於商業目的。

原文釋出時間：2017年4月20日

本文由：綠盟科技釋出，版權歸屬於原作者

原文連結:http://toutiao.secjia.com/squirrelmail-rce-cve-2017-7692

本文來自雲棲社群合作伙伴安全加，瞭解相關資訊可以關注安全加網站