Toleo la kusahihisha la mfumo wa usimamizi wa utumaji barua wa GNU Mailman 2.1.35 limechapishwa, linalotumiwa kupanga mawasiliano kati ya wasanidi programu katika miradi mbalimbali ya chanzo huria. Sasisho linashughulikia athari mbili: Athari ya kwanza (CVE-2021-42096) inaruhusu mtumiaji yeyote aliyejisajili kwenye orodha ya wanaopokea barua pepe kubainisha nenosiri la msimamizi wa orodha hiyo ya wanaopokea barua pepe. Athari ya pili (CVE-2021-42097) huwezesha kutekeleza shambulio la CSRF kwa mtumiaji mwingine wa orodha ya wanaopokea barua pepe ili kunasa akaunti yake. Shambulio hilo linaweza tu kufanywa na mwanachama aliyejiandikisha kwenye orodha ya wanaopokea barua pepe. Mailman 3 hajaathiriwa na suala hili.
Matatizo yote mawili yanasababishwa na ukweli kwamba thamani ya csrf_token inayotumiwa kulinda dhidi ya mashambulizi ya CSRF kwenye ukurasa wa chaguo daima ni sawa na tokeni ya msimamizi, na haitoleshwi tofauti kwa mtumiaji wa kipindi cha sasa. Wakati wa kuzalisha csrf_token, habari kuhusu hashi ya nenosiri la msimamizi hutumiwa, ambayo hurahisisha uamuzi wa nenosiri kwa nguvu kali. Kwa kuwa csrf_token iliyoundwa kwa mtumiaji mmoja pia inafaa kwa mtumiaji mwingine, mshambulizi anaweza kuunda ukurasa ambao, unapofunguliwa na mtumiaji mwingine, unaweza kusababisha amri kutekelezwa kwenye kiolesura cha Mailman kwa niaba ya mtumiaji huyu na kupata udhibiti wa akaunti yake.
Chanzo: opennet.ru