当前位置:首页 > 漏洞预警 > 正文

PHPMailer两个远程代码执行漏洞预警

发布时间:2021-06-22 14:48:04,来源:北京奇虎科技有限公司

一、基本情况

近日,PHPMailer修复了两个远程代码执行漏洞,相关CVE编号:CVE-2021-34551,CVE-2021-3603。攻击者可利用这些漏洞在目标系统上执行任意代码。建议受影响用户及时将PHPMailer升级至6.5.0版本进行防护,做好资产自查以及预防工作,以免遭受黑客攻击。

二、 漏洞等

高危

三、 漏洞描

PHPMailer是一个用于发送电子邮件的PHP函数包, 可以设定发送邮件地址、回复地址、邮件主题、html网页及上传附件。

1.CVE-2021-34551: 该漏洞是由于在处理$lang_path参数时对setLanguage()方法内用户提供数据的验证不足,远程攻击者可向应用传送一个特殊构造的输入,通过受影响的参数设置UNC路径,从而在系统上执行任意PHP代码。

2. CVE-2021-3603: 该漏洞是由于输入验证不当,可允许未受信任的代码从地址验证器运行。远程攻击者可通过发送一个特殊构造的请求,从而在目标系统上执行任意代码。

四、 影响范围

PHPMailer <= 6.4.1

五、 安全建议

建议用户将PHPMailer升级至6.5.0版本进行防护。

下载地址:https://github.com/PHPMailer/PHPMailer

六、 考链接

https://github.com/PHPMailer/PHPMailer/blob/master/SECURITY.md

https://www.huntr.dev/bounties/1-PHPMailer/PHPMailer/

https://github.com/PHPMailer/PHPMailer/commit/45f3c18dc6a2de1cb1bf49b9b249a9ee36a5f7f3