Soporte técnico
Documentación
Inicio de sesión
Póngase en contacto con nosotros
Siete vulnerabilidades de PHPmailer resueltas en Ubuntu
Rohan Timalsina
13 de marzo de 2024 - Equipo de expertos TuxCare
En el ámbito del desarrollo web, es fundamental asegurarse de que nuestras aplicaciones son seguras. Recientemente, el equipo de seguridad de Ubuntu abordó una serie de vulnerabilidades en PHPMailer, una clase de transferencia de correo electrónico ampliamente utilizada para PHP. Estas vulnerabilidades podrían potencialmente abrir la puerta a ataques maliciosos, incluyendo cross-site scripting (XSS) y la ejecución de código arbitrario. Profundicemos en los detalles de estas vulnerabilidades y en las medidas adoptadas para solucionarlas.
Descripción general de las vulnerabilidades de PHPmailer
CVE-2016-10033, CVE-2016-10045
Dawid Golunski descubrió que PHPMailer era susceptible a la ejecución de código arbitrario debido al manejo inadecuado de los datos de entrada del usuario utilizados como argumentos de las funciones ejecutadas por el shell del sistema. Aunque este problema afectaba exclusivamente a Ubuntu 16.04 ESM, su impacto potencial era significativo.
CVE-2017-11503
Esta vulnerabilidad, identificada por un descuido en el escape de caracteres en campos específicos del código de ejemplo code_generator.php, allanaba el camino para ataques de secuencias de comandos en sitios cruzados (XSS). Este problema sólo se solucionó en Ubuntu 16.04 y Ubuntu 18.04.
CVE-2017-5223
El descubrimiento de Yongxiang Li puso de manifiesto que PHPMailer no convertía adecuadamente las rutas relativas proporcionadas por el usuario al adjuntar archivos a los mensajes. La explotación de este fallo podría conducir a un acceso no autorizado y a la exposición de información sensible, afectando exclusivamente a Ubuntu 16.04 ESM.
CVE-2018-19296
El hallazgo de Sehun Oh apuntaba a la inadecuación de PHPMailer a la hora de procesar archivos adjuntos no locales que no fueran de confianza, lo que podía llevar a la inyección de objetos y a la posterior ejecución de código arbitrario. De nuevo, esta vulnerabilidad de PHPmailer sólo afectaba a Ubuntu 16.04 y podía utilizarse para ejecutar código arbitrario.
CVE-2020-13625
El descubrimiento de Elar Lang puso de manifiesto el descuido de PHPMailer a la hora de escapar los nombres de los archivos adjuntos, lo que suponía un riesgo de malinterpretación por parte de las entidades que procesaban el mensaje. Este problema, que afectaba a Ubuntu 16.04 y Ubuntu 20.04, puso de relieve la importancia de contar con protocolos estrictos de gestión de archivos adjuntos.
CVE-2021-3603
La última vulnerabilidad, sacada a la luz por un descuido en el manejo de callables por parte de PHPMailer en su función validateAddress, suscitó preocupación por la posible ejecución de código no fiable. Este problema, solucionado en Ubuntu 20.04 y Ubuntu 22.04, puso de manifiesto la naturaleza evolutiva de las amenazas a la seguridad.
Esfuerzos de mitigación
Tras el descubrimiento de estas vulnerabilidades en PHPmailer, el equipo de seguridad de Ubuntu respondió rápidamente publicando actualizaciones de seguridad. Estas actualizaciones estaban dirigidas a las versiones Ubuntu 22.04 LTS, Ubuntu 20.04 LTS, Ubuntu 18.04 ESM y Ubuntu 16.04 ESM, asegurando que los usuarios pudieran parchear rápidamente sus sistemas y mitigar los riesgos asociados. Aunque pueden surgir vulnerabilidades en Linux, las medidas proactivas, como la aplicación oportuna de parches, son cruciales para proteger nuestros ecosistemas digitales frente a posibles amenazas.
Las actualizaciones de seguridad para Ubuntu 16.04 y Ubuntu 18.04 sólo están disponibles con Ubuntu Pro. Como alternativa, puede utilizar el soporte de ciclo de vida ampliado de TuxCare para recibir parches de seguridad de proveedor y proteger sus sistemas Ubuntu al final de su vida útil. Descubra cómo Extended Lifecycle Support mantiene la seguridad y el cumplimiento de los sistemas operativos Linux al final de su vida útil.
Fuente: USN-5956-1
