മെയിലിംഗ് ലിസ്റ്റ് അഡ്മിനിസ്ട്രേറ്റർ പാസ്‌വേഡ് നിർണ്ണയിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന മെയിൽമാനിലെ കേടുപാടുകൾ

ഗ്നു മെയിൽമാൻ 2.1.35 മെയിലിംഗ് മാനേജ്മെന്റ് സിസ്റ്റത്തിന്റെ ഒരു തിരുത്തൽ പതിപ്പ് പ്രസിദ്ധീകരിച്ചു, വിവിധ ഓപ്പൺ സോഴ്സ് പ്രോജക്റ്റുകളിൽ ഡെവലപ്പർമാർ തമ്മിലുള്ള ആശയവിനിമയം സംഘടിപ്പിക്കാൻ ഉപയോഗിക്കുന്നു. അപ്‌ഡേറ്റ് രണ്ട് കേടുപാടുകൾ പരിഹരിക്കുന്നു: ആദ്യത്തെ ദുർബലത (CVE-2021-42096) ഒരു മെയിലിംഗ് ലിസ്റ്റിലേക്ക് സബ്‌സ്‌ക്രൈബുചെയ്‌ത ഏതൊരു ഉപയോക്താവിനെയും ആ മെയിലിംഗ് ലിസ്റ്റിന്റെ അഡ്മിൻ പാസ്‌വേഡ് നിർണ്ണയിക്കാൻ അനുവദിക്കുന്നു. രണ്ടാമത്തെ അപകടസാധ്യത (CVE-2021-42097) മറ്റൊരു മെയിലിംഗ് ലിസ്റ്റ് ഉപയോക്താവിന്റെ അക്കൗണ്ട് പിടിച്ചെടുക്കാൻ ഒരു CSRF ആക്രമണം നടത്തുന്നത് സാധ്യമാക്കുന്നു. മെയിലിംഗ് ലിസ്റ്റിലെ ഒരു അംഗത്തിന് മാത്രമേ ആക്രമണം നടത്താൻ കഴിയൂ. ഈ പ്രശ്നം മെയിൽമാൻ 3-നെ ബാധിച്ചിട്ടില്ല.

ഓപ്ഷനുകൾ പേജിലെ CSRF ആക്രമണങ്ങളിൽ നിന്ന് പരിരക്ഷിക്കാൻ ഉപയോഗിക്കുന്ന csrf_token മൂല്യം എല്ലായ്പ്പോഴും അഡ്മിനിസ്ട്രേറ്റർ ടോക്കണിന് തുല്യമാണ്, മാത്രമല്ല നിലവിലെ സെഷന്റെ ഉപയോക്താവിനായി പ്രത്യേകം സൃഷ്ടിക്കാത്തതാണ് രണ്ട് പ്രശ്‌നങ്ങൾക്കും കാരണം. csrf_token സൃഷ്ടിക്കുമ്പോൾ, അഡ്മിനിസ്ട്രേറ്റർ പാസ്‌വേഡിന്റെ ഹാഷിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഉപയോഗിക്കുന്നു, ഇത് ബ്രൂട്ട് ഫോഴ്‌സ് ഉപയോഗിച്ച് പാസ്‌വേഡ് നിർണ്ണയിക്കുന്നത് ലളിതമാക്കുന്നു. ഒരു ഉപയോക്താവിനായി സൃഷ്‌ടിച്ച csrf_token മറ്റൊരു ഉപയോക്താവിനും അനുയോജ്യമായതിനാൽ, ആക്രമണകാരിക്ക് ഒരു പേജ് സൃഷ്‌ടിക്കാൻ കഴിയും, അത് മറ്റൊരു ഉപയോക്താവ് തുറക്കുമ്പോൾ, ഈ ഉപയോക്താവിന് വേണ്ടി മെയിൽമാൻ ഇന്റർഫേസിൽ കമാൻഡുകൾ എക്‌സിക്യൂട്ട് ചെയ്യാനും അവന്റെ അക്കൗണ്ടിന്റെ നിയന്ത്രണം നേടാനും കഴിയും.

അവലംബം: opennet.ru