關于PHPMailer漏洞情況的通報

本文講的是 關于PHPMailer漏洞情況的通報，近日，國家資訊安全漏洞庫（CNNVD）收到多個關于“PHPMailer”漏洞情況的報送。先是編号為CNNVD-201612-675的“PHPMailer輸入驗證漏洞”，2016年12月24日，PHPMailer官方針對該漏洞釋出修複更新檔，但安全人員發現該更新檔未能完全修複該漏洞，進而導緻新的輸入驗證漏洞産生（CNNVD-201612-755）。為此，12月28日，PHPMailer官方再次針對新漏洞釋出修複更新檔。由于上述漏洞影響範圍廣，危害級别高，國家資訊安全漏洞庫（CNNVD）對此進行了跟蹤分析，情況如下：

一、 漏洞簡介

PHPMailer是一個用于發送電子郵件的PHP類庫。WordPress、Drupal、1CRM、SugarCRM、Yii、Joomla!、thinkphp等都預設調用了該類庫。

PHPMailer 5.2.18之前的版本中存在輸入驗證漏洞（CNNVD-201612-675，CVE-2016-10033）。該漏洞源于類庫未對使用者輸入進行有效過濾，導緻遠端攻擊者可利用該漏洞在Web伺服器中執行任意代碼。

PHPMailer 5.2.20之前的版本中存在輸入驗證漏洞（CNNVD-201612-755，CVE-2016-10045）。該漏洞由于PHPMailer官方針對上述輸入驗證漏洞（CNNVD-201612-675，CVE-2016-10033）更新檔中使用的過濾函數可被繞過，導緻遠端攻擊者可利用該漏洞在Web伺服器中執行任意代碼。

二、 漏洞危害

遠端未授權的攻擊者可通過輸入惡意構造的參數利用上述漏洞，在使用了該PHP類庫的Web伺服器中執行任意代碼，可導緻目标主機被完全控制。

三、 修複措施

目前，PHPMailer官方已針對上述漏洞釋出了修複版本，請受影響的使用者盡快更新至5.2.20及以上版本以消除漏洞影響。更新檔擷取連結：

<a href="https://github.com/PHPMailer/PHPMailer/blob/master/changelog.md">https://github.com/PHPMailer/PHPMailer/blob/master/changelog.md</a>

本報告由CNNVD技術支撐機關——北京白帽彙科技有限公司提供支援。

CNNVD将繼續跟蹤上述漏洞的相關情況，及時釋出相關資訊。如有需要，可與CNNVD聯系。

原文釋出時間為：十二月 30, 2016

本文作者：aqniu

本文來自雲栖社群合作夥伴安全牛，了解相關資訊可以關注安全牛