PHPMailerの脆弱性CVE-2016-10033はExim4やWordPress4.6でも影響があった | 徳丸浩の日記

2017/05/08 72 users PHPMailer Sendmail MTA 徳丸浩 バンド

エグゼクティブサマリ PHPMailerのリモートコード実行脆弱性CVE-2016-10033は、従来MTAとしてsendmailを用いる場合のみ影響があるとされていた。また、WordPressはPHPMailerをバンドルしているが、CVE-2016-10033によるWordPressに対するリモートコード実行攻撃はできないとされていた。しかし、MTAとしてExim4を用いる場合には、PHPMa... 続きを読む

PHPのescapeshellcmdを巡る冒険はmail関数を経てCVE-2016-10033に至った | 徳丸浩の日記

2016/12/30 57 users 徳丸浩 エグゼクティブサマリ PHP mail関数 徳丸

エグゼクティブサマリ 2011年始めに徳丸がescapeshellcmdの危険性を指摘したが、この問題はmail関数のadditional_parameters経由で攻撃可能であることが2013年末に指摘された。その後2016年末に、PHPMailerの脆弱性CVE-2016-10033として現実のものとなった 経緯 2011/1/1 徳丸が「 PHPのescapeshellcmdの危険性 」を書... 続きを読む

【セキュリティ ニュース】「PHPMailer」の脆弱性、「WordPress」などでは悪用できず（1ページ目 / 全1ページ）：Security NEXT

2016/12/28 28 users PHPMailer Joomla Drupal ウェブサーバ

PHPライブラリ「PHPMailer」に脆弱性が見つかった問題で、同ライブラリを利用する「WordPress」「Joomla！」「Drupal」いずれも、コア部分では脆弱性を悪用される懸念がないことがわかった。 問題の脆弱性は、ウェブサーバの権限で任意のコードを実行されるおそれがある「PHPMailer」の脆弱性「CVE-2016-10033」。修正版として「同5.2.18」が公開されたが、対策を... 続きを読む

PHPMailerのリモートコード実行脆弱性(CVE-2016-10033)の影響範囲 - Qiita

2016/12/27 196 users PHPMailer Qiita from CMS サーバ

今回の脆弱性 CVE-2016-10033 PHPMailer5.2.18より下のバージョンで発生します。 フォームからメールアドレスを受け付けて自前バリデーションせずにPHPMailerのFromにセットしている場合に発生する可能性。 任意のPHPコードをサーバに設置できるため、外部からWebシェルなどが設置されるなど、影響は大きいです。 影響が大きいため、PHPMailerを使っているCMSな... 続きを読む

PHPからのメール送信ライブラリ「PHPMailer」に脆弱性、米SANS ISCが注意喚起 -INTERNET Watch

2016/12/27 25 users PHPMailer ISC 米SANS ISC PHP 脆弱性

PHPからのメール送信に利用されているライブラリ「PHPMailer」におけるリモートでコードが実行される可能性のある脆弱性について、米SANS Technology InstituteのInternet Storm Center（ISC）が注意を喚起し、更新プログラムの適用を推奨している。 　脆弱性「CVE-2016-10033」は、PHPMailerのメール送信機能を利用するウェブサイトのコメ... 続きを読む