जीएनयू मेलमैन 2.1.35 मेलिंग प्रबंधन प्रणाली की एक सुधारात्मक रिलीज़ प्रकाशित की गई है, जिसका उपयोग विभिन्न ओपन-सोर्स परियोजनाओं में डेवलपर्स के बीच संचार को व्यवस्थित करने के लिए किया जाता है। अद्यतन दो कमजोरियों को संबोधित करता है: पहली भेद्यता (सीवीई-2021-42096) मेलिंग सूची के लिए सदस्यता लेने वाले किसी भी उपयोगकर्ता को उस मेलिंग सूची के लिए व्यवस्थापक पासवर्ड निर्धारित करने की अनुमति देती है। दूसरी भेद्यता (सीवीई-2021-42097) किसी अन्य मेलिंग सूची उपयोगकर्ता पर सीएसआरएफ हमले को अंजाम देना संभव बनाती है ताकि उसका खाता जब्त किया जा सके। हमला केवल मेलिंग सूची के सदस्यता प्राप्त सदस्य द्वारा ही किया जा सकता है। मेलमैन 3 इस मुद्दे से प्रभावित नहीं है.
दोनों समस्याएं इस तथ्य के कारण होती हैं कि विकल्प पृष्ठ पर CSRF हमलों से बचाने के लिए उपयोग किया जाने वाला csrf_token मान हमेशा व्यवस्थापक टोकन के समान होता है, और वर्तमान सत्र के उपयोगकर्ता के लिए अलग से उत्पन्न नहीं होता है। सीएसआरएफ_टोकन उत्पन्न करते समय, व्यवस्थापक पासवर्ड के हैश के बारे में जानकारी का उपयोग किया जाता है, जो क्रूर बल द्वारा पासवर्ड के निर्धारण को सरल बनाता है। चूँकि एक उपयोगकर्ता के लिए बनाया गया csrf_token दूसरे उपयोगकर्ता के लिए भी उपयुक्त है, एक हमलावर एक पेज बना सकता है, जिसे किसी अन्य उपयोगकर्ता द्वारा खोले जाने पर, इस उपयोगकर्ता की ओर से मेलमैन इंटरफ़ेस में कमांड निष्पादित किया जा सकता है और उसके खाते पर नियंत्रण हासिल किया जा सकता है।
स्रोत: opennet.ru