教育機構ANA通報平台

發佈編號    TACERT-ANA-2017011202013636
發佈時間    2017-01-12 14:41:37
事故類型    ANA-漏洞預警
發現時間    2017-01-05 00:00:00
影響等級    中

【漏洞預警】Zend-Mail存在允許攻擊者遠端執行任意程式碼之漏洞(CVE-2016-10034)，請儘速確認並進行修正

[內容說明:]
轉發行政法人國家資通安全科技中心 資安訊息警訊 NCCST-ANA-201701-0036
Zend Framework是一個使用PHP 的物件導向且開源的WEB應用程式與服務開發框架，其中Zend-Mail為Zend Framework之電子郵件元件。

2016/12 /30波蘭研究員Dawid Golunski發現2.4.11版本以前與2.5.0~2.7.1版本的Zend-Mail 及2.4.11版本以前的Zend Framework存在未嚴格篩選郵件寄件者特殊字元之問題，導致攻擊者可將惡意郵件寫入網頁程式碼。原因在於Zend-Mail實作支援RFC 3696所設定之特殊格式郵件信箱(郵件帳號以雙引號含括，但其中包含空白字元，例如 email address with spaces@example.com)時，並未嚴格過濾內容，導致攻擊者可在上述郵件帳號中，利用添加反斜線與雙引號(\”)方 式，達到夾帶更多參數給系統上Sendmail郵件伺服器目的(雙引號開頭與結尾代表一個參數，故透過此方式，以增加更多參數)， 並藉由額外夾帶之Sendmail參數(包含-X，為Sendmail接受之參數，可將郵件內容寫入檔案)，達到將惡意PHP程式內容寫入網頁程式碼，以造成遠端執行程式碼之弱點(弱點編號為CVE-2016-10034)。

[影響平台:]
1.Zend Framework 2.4.11前的版本
2.Zend-Mail 2.4.11前的版本與2.5.0~2.7.1的版本

[建議措施:]
請檢視Zend Framework與Zend-Mail版本，步驟如下：
1.於硬碟中搜尋ZendFramework和Zend-Mail 資料夾
2.檢視ZendFramework和Zend-Mail根目錄下之CHANGELOG.md檔案(選用記事本開啟即可)
如所使用之Zend Framework或Zend-Mail為受影響之版本，請儘速至官方網頁(https://framework.zend.com/downloads /archives、https://github.com/zendframework/zendframework)下載並安裝最新版本之Zend Framework或Zend-Mail。

[參考資料:]
1. https://github.com/zendframework/zendframework
2. https://framework.zend.com/downloads/archives
3. https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-10034
4. https://legalhackers.com/advisories/ZendFramework-Exploit-ZendMail-Remote-Code-Exec-CVE-2016-10034-Vuln.html

(此通報僅在於告知相關資訊，並非為資安事件)，如果您對此通報的內容有疑問或有關於此事件的建議，歡迎連絡教育機構資安通報應變小組。
網 址：https://info.cert.tanet.edu.tw/
專線電話：07-5250211
網路電話：98400000
E- Mail：service@cert.tanet.edu.tw

資訊中心敬啟