PHPMailer两个远程代码执行漏洞预警

一、基本情况

近日，PHPMailer修复了两个远程代码执行漏洞，相关CVE编号：CVE-2021-34551，CVE-2021-3603。攻击者可利用这些漏洞在目标系统上执行任意代码。建议受影响用户及时将PHPMailer升级至6.5.0版本进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。

二、 漏洞等级

高危

三、 漏洞描述

PHPMailer是一个用于发送电子邮件的PHP函数包, 可以设定发送邮件地址、回复地址、邮件主题、html网页及上传附件。

1.CVE-2021-34551: 该漏洞是由于在处理$lang_path参数时对setLanguage()方法内用户提供数据的验证不足，远程攻击者可向应用传送一个特殊构造的输入，通过受影响的参数设置UNC路径，从而在系统上执行任意PHP代码。

2. CVE-2021-3603: 该漏洞是由于输入验证不当，可允许未受信任的代码从地址验证器运行。远程攻击者可通过发送一个特殊构造的请求，从而在目标系统上执行任意代码。

四、 影响范围

PHPMailer <= 6.4.1

五、 安全建议

建议用户将PHPMailer升级至6.5.0版本进行防护。

下载地址：https://github.com/PHPMailer/PHPMailer

六、 参考链接

https://github.com/PHPMailer/PHPMailer/blob/master/SECURITY.md

https://www.huntr.dev/bounties/1-PHPMailer/PHPMailer/

https://github.com/PHPMailer/PHPMailer/commit/45f3c18dc6a2de1cb1bf49b9b249a9ee36a5f7f3