GNU Mailman 2.1.35 почтаны башкаруу тутумунун түзөтүүчү релизи басылып чыкты, ал ар кандай ачык булактуу долбоорлордо иштеп чыгуучулардын ортосундагы байланышты уюштуруу үчүн колдонулат. Жаңыртуу эки кемчиликти карайт: Биринчи кемчилик (CVE-2021-42096) почта тизмесине жазылган ар бир колдонуучуга ошол почта тизмеси үчүн администратор сырсөзүн аныктоого мүмкүндүк берет. Экинчи алсыздык (CVE-2021-42097) анын аккаунтун басып алуу үчүн башка почта тизмеси колдонуучуга CSRF чабуулун жасоого мүмкүндүк берет. Чабуул жөнөтүү тизмесинин жазылган мүчөсү тарабынан гана ишке ашырылышы мүмкүн. Mailman 3 бул маселеге таасирин тийгизбейт.
Эки көйгөй тең параметрлер бетиндеги CSRF чабуулдарынан коргоо үчүн колдонулган csrf_token мааниси ар дайым администратор белгиси менен бирдей болгондуктан, учурдагы сессиянын колдонуучусу үчүн өзүнчө түзүлбөйт. csrf_token генерациялоодо администратордун паролунун хэштери жөнүндө маалымат колдонулат, бул сырсөздү катаал күч менен аныктоону жөнөкөйлөтөт. Бир колдонуучу үчүн түзүлгөн csrf_token башка колдонуучу үчүн да ылайыктуу болгондуктан, чабуулчу башка колдонуучу тарабынан ачылганда, бул колдонуучунун атынан Почтачы интерфейсинде буйруктарды аткарууга жана анын аккаунтун көзөмөлдөөгө алып келе турган баракча түзө алат.
Source: opennet.ru