PHPMailer < 5.2.21 0day

[DutchTSE]

Had hem al op het DirectAdmin forum gepost maar daar lijkt niemand er wakker van te liggen, en ik zie hier ook niemand in paniek rondrennen.. hoe erg is het? Of valt het in de praktijk allemaal wel mee? Is er een trucje om dit dicht te zetten? Of hebben jullie misschien alle class.phpmailer.php op de servers opgezocht en vervangen door de nieuwste versie, of iets in die richting?

Ik heb de exploit overigens zelf getest maar het is mij niet gelukt om hem werkend te krijgen. Zegt wellicht iets over DirectAdmin servers..



A(n) (couple of) exploit(s) have been discovered in PHPmailer, which is used by many CMS/websites.

Initial report which is patched: https://legalhackers.com/advisories/PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10033-Vuln.html
New CVE since initial patch is still vulnerable: https://legalhackers.com/advisories/PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10045-Vuln-Patch-Bypass.html
Explaination for dummies: https://www.wordfence.com/blog/2016/12/phpmailer-vulnerability/

I am not sure how vulnerable a DirectAdmin system is, as Sendmail is being linked to Exim. Are we safe?*
*ofcourse PHPmailer must be updated, but it will be the difference in calling all affected website owners or sending them an email and give them a week to update.

[systemdeveloper]

In principe maakt het niet uit welk controlpanel er op een server draait. Met DA kun je de boel leuk onder suphp of mod_ruid2 hangen om te zorgen dat eventuele issues zich al beperken tot de betrokken user. Maar dat kun je met andere CP's ook wel en handmatig ook nog.

Daarnaast zullen weinig mensen tegenwoordig nog een FROM emailadres ongecontroleerd doorgeven naar een mail module. Als jantie@web1.nl een contactform op www.vlaislekker.nl invult, dan zal over het algemeen de beheerder van de website een mail krijgen van bv contact@vlaislekker.nl en de from-waarde zal dan puur als content in de body staan.

Wat dan verder nog een issue kan zijn is de 'evil' eigen user en die zal het weinig boeien of jij een nieuw mailer upload, want die kan ie gewoon overschrijven met een oudere versie. (en nog wel veel meer natuurlijk, is maar voor het idee).

Is dit meer paniek dan een gem. wordpress plugin met een lek? Punt is.. phpmailer is een php scriptje. Als je server security afhangt van een php scriptje, zit er al op een hoger nivo iets fout. (verkeerde rechten, alles onder apacheuser draaien, exim/sendmail, etc).

[DutchTSE]

Control panel maakt inderdaad niet uit, bedoelde meer de inrichting van sendmail die met het control panel mee komt (in geval van DA dat sendmail gelinkt wordt naar Exim, zonder CP kun je hem linken naar een MTA naar keuze). Evil scriptjes draaien uiteraard onder het user account, maar geen evil scriptjes hebben draaien is het uitgangspunt ;-)

Ik maakte mij in zoverre zorgen dat bijv. het NCSC en KPN CERT hier ook voor waarschuwen, en dat doen ze niet bij een gemiddeld wordpress lek. Maar dan kunnen we rustig de gebruikers informeren :)

[Ramon Fincken]

Even bij de WordPress community gepolst:
https://twitter.com/ramonfincken/status/814436161934544896

[systemdeveloper]

Informeren is zeker goed. Maar de -X parameter (waarmee de gegevens in een apart logbestand geschreven worden dat zelfs door derden toegankelijk is) wordt door exim (standaard bij DA) genegeerd.

[Ramon Fincken]

De laatste (goede) versie zit in de laatste ontwikkelversie van WordPress.
Het zal in WordPress 4.7.1 gereleased worden. Wij hebben gisteren al onze klanten gepatched.