PHPMailerの脆弱性CVE-2016-10033について解析した

（情報元のブックマーク数）

なんか、アップデートがあったけど不完全で、再度アップデートが出てたそうです。

Release PHPMailer 5.2.20 · PHPMailer/PHPMailer · GitHubで対応とのこと

対策版として公開されている PHPMailer 5.2.19も不完全であるので、回避策の導入を推奨する。
PHPMailerの脆弱性CVE-2016-10033について解析した | 徳丸浩の日記

PHPMailer 5.2.19での対応対策版とされる PHPMailer 5.2.19 では、以下のようにSenderプロパティをescapeshellarg関数でエスケープしてからmail関数に渡されるようになりました。 $params = sprintf('-f%s', escapeshellarg($this->Sender)); しかし、これはこれで不安ですね。その理由は、escapeshellarg関数の後、mail関数内部でescapeshllcmd相当のエスケープが行われるからです。二重にエスケープされるので予期しない動作になる可能性があります。あれ、これではまずい… と思って、届出をしていたところ、先に発表されていました。CVE-2016-10045が割り当てられています。PoCも公開されていますね。
PHPMailerの脆弱性CVE-2016-10033について解析した | 徳丸浩の日記

関連URL

JVNDB-2016-006446 - JVN iPedia - 脆弱性対策情報データベース

PHPMailer-Exploit-Remote-Code-Exec-CVE-2016-10045-Vuln-Patch-Bypass

「PHPMailer」に重大な脆弱性、直ちにパッチ適用を - ITmedia ニュース

PHPMailerの脆弱性 CVE-2016-10033／CVE-2016-10045についてまとめてみた - piyolog

「PHPMailer」に重大な脆弱性、直ちにパッチ適用を - ITmedia エンタープライズ