Lỗ hổng PHP Mailer có thể bị khai thác từ xa

Một lỗ hổng nghiêm trọng đã được phát hiện trong PHPMailer, đó là một trong những thư viện mã nguồn mở PHP phổ biến nhất để gửi email được sử dụng bởi hơn 9 triệu người dùng trên toàn thế giới.

Lỗ hổng PHP Mailer có thể bị khai thác từ xa

Hàng triệu trang web PHP và các ứng dụng web phổ biến mã nguồn mở, bao gồm cả WordPress, Drupal, 1CRM, SugarCRM, Yii, và Joomla đi kèm với thư viện PHPMailer cho việc gửi email sử dụng một loạt các phương thức, bao gồm SMTP cho người dùng của họ.

Được phát hiện bởi nhà nghiên cứu bảo mật Ba Lan – Dawid Golunski của DLegal Hackers, lỗ hổng nghiêm trọng (CVE-2.016-10.033) cho phép kẻ tấn công thực thi mã tùy ý từ xa trong bối cảnh của các máy chủ web và thỏa hiệp các ứng dụng web mục tiêu.
Để khai thác lỗ hổng một kẻ tấn công có thể nhắm mục tiêu các thành phần trang web phổ biến như contact/feedback forms, form đăng ký, reset mật khẩu email và những thứ khác liên quan đến gửi email mà có sử dụng một class (lớp) có liên quan đến PHPMailer,” Golunski công bố hôm nay.

Golunski có trách nhiệm báo cáo lỗ hổng để các nhà phát triển, những người đã vá lỗ hổng trong phiên bản mới của họ. Tất cả các phiên bản của PHPMailer trước khi phát hành quan trọng của PHPMailer 5.2.18 bị ảnh hưởng, vì vậy quản trị web và các nhà phát triển được khuyến khích mạnh mẽ để cập nhật lên phiên bản vá.

Kể từ khi The Hacker News được làm việc công bố công khai đầu tiên của các lỗ hổng trong các tin tức như sau tư vấn Golunski hàng triệu trang web vẫn chưa được vá, các nhà nghiên cứu đã tạm ngưng các chi tiết kỹ thuật về các lỗ hổng.

Tuy nhiên, Golunski đã hứa sẽ công bố chi tiết kỹ thuật về các lỗ hổng trong những ngày tới, trong đó có một bằng chứng của khái niệm mã khai thác và video trình diễn đó sẽ hiển thị các cuộc tấn công.

Chi tiết về quá trình khai thác lỗ hổng

Lỗ hổng PHP Mailer có thể bị khai thác từ xa

Golunski đã phát hành Proof-of-Concept (PoC) mã khai thác lỗ hổng thực thi từ xa cho PHPMailer.
Một khai thác thành công có thể cho phép kẻ tấn công từ xa truy cập vào các máy chủ mục tiêu trong bối cảnh của các tài khoản máy chủ web mà có thể dẫn đến một sự thỏa hiệp đầy đủ các ứng dụng web,” Golunski nói.

Video demo

thehackernews