2016-2151: Swift Mailer: Eine Schwachstelle ermöglicht die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2017-01-02 10:10)

Neues Advisory

Version 2 (2017-01-03 13:48)

TYPO3 enthält bis inklusive Version 6.2.29, 7.6.14 und 8.5.0 eine angreifbare Version des Pakets 'swiftmailer/swiftmailer' für Aktionen im Zusammenhang mit dem Versand von Emails. Die Unterstützung der PHP-Funktion 'mail' endet mit der aktualisierten Version dieses Pakets. Die als Sicherheitsupdates neu veröffentlichten Versionen 6.2.30, 7.6.15 und 8.5.1 von TYPO3 beinhalten eine aktuelle Version von Swift Mailer. Benutzer von TYPO3 werden angewiesen, die TYPO3 MAIL-Konfiguration gegebenenfalls zu verändern, so dass eine andere Transportmethode für Emails verwendet wird.

Version 3 (2017-01-23 09:00)

Debian stellt für die Distributionen Jessie (stable) und Stretch (testing) Backport-Sicherheitsupdates für Swift Mailer bereit.

Version 4 (2026-11-04 11:18)

Für Ubuntu 16.04 LTS steht ein Sicherheitsupdate für 'libphp-swiftmailer' bereit, um die Schwachstelle zu beheben.

Betroffene Software

Office
Server

Betroffene Plattformen

Linux

Beschreibung:

Ein Angreifer kann die Schwachstelle in Swift Mailer vor Version 5.4.5 aus der Ferne ausnutzen, um beliebigen Programmcode als Parameter in einen Systemaufruf von 'sendmail' zu injizieren, der schließlich als auf dem Webserver ausführbare Datei abgelegt wird.

Der Hersteller informiert über die Schwachstelle und veröffentlicht Swift Mailer 5.4.5 als Sicherheitsupdate. Für die Distributionen Fedora 24 und 25 sowie für Fedora EPEL 7 stehen Sicherheitsupdates für das Paket 'php-swiftmailer' auf Version 5.4.5 im Status 'testing' bereit.

Schwachstellen:

CVE-2016-10074

Schwachstelle in Swift Mailer ermöglicht Ausführung beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.