Nieuws
Ontwikkelaars dichten kwetsbaarheid in PHPMailer
Geplaatst door Michel [Support] aan 27-12-2016 16:03
Oudere versies van het populaire php-script voor het automatisch versturen van mail, PHPMailer, blijken een kwetsbaarheid te bevatten die het voor een aanvaller mogelijk maakt op afstand code uit te voeren.
In de laatste versie hebben de ontwikkelaars het probleem opgelost.

Om de PHPMailer-kwetsbaarheid met aanduiding CVE-2016-10033 te misbruiken, hoeft een aanvaller de web-applicatie alleen een mail te laten versturen door de kwetsbare PHPMailer-klasse, bijvoorbeeld via contact-, feedback- en registratie-formulieren of het resetten van e-mailwachtwoorden.
Vervolgens kan de aanvaller als webserver-gebruiker op afstand code uitvoeren. Dat beschrijft de Poolse beveiligingsonderzoeker Dawid Golunski van Legal Hackers, die ook een exploit ontwikkeld heeft.
De precieze details maakt hij op een later moment bekend om beheerders tijd te geven de code bij te werken.

De ontwikkelaars van PHPMailer dringen er voor alle gebruikers op aan dat ze hun versie bijwerken naar versie 5.2.18.
Bij deze actuele versie is het probleem opgelost. PHPMailer is een van de meestgebruikte php-libraries en is onder andere verwerkt in WordPress, Joomla, Drupal, SugarCRM en Mantis.
Volgens BleepingComputer is inmiddels ook door derde partijen ontwikkelde exploitcode online verschenen.
 
Bron: Tweakers