Itusilẹ atunṣe ti GNU Mailman 2.1.35 eto iṣakoso ifiweranṣẹ ti jẹ atẹjade, ti a lo lati ṣeto ibaraẹnisọrọ laarin awọn olupilẹṣẹ ni ọpọlọpọ awọn iṣẹ akanṣe-ìmọ. Imudojuiwọn naa ṣalaye awọn ailagbara meji: Ailagbara akọkọ (CVE-2021-42096) ngbanilaaye olumulo eyikeyi ṣe alabapin si atokọ ifiweranṣẹ lati pinnu ọrọ igbaniwọle abojuto fun atokọ ifiweranṣẹ yẹn. Ailagbara keji (CVE-2021-42097) jẹ ki o ṣee ṣe lati gbe ikọlu CSRF kan lori olumulo atokọ ifiweranṣẹ miiran lati gba akọọlẹ rẹ. Ikọlu naa le ṣee ṣe nipasẹ ọmọ ẹgbẹ ti o ṣe alabapin ti atokọ ifiweranṣẹ. Oluranse 3 ko ni fowo nipasẹ ọran yii.
Awọn iṣoro mejeeji ni o ṣẹlẹ nipasẹ otitọ pe iye csrf_token ti a lo lati daabobo lodi si awọn ikọlu CSRF lori oju-iwe awọn aṣayan nigbagbogbo jẹ kanna bi ami alabojuto, ati pe ko ṣe ipilẹṣẹ lọtọ fun olumulo ti igba lọwọlọwọ. Nigbati o ba n ṣe ipilẹṣẹ csrf_token, alaye nipa hash ti ọrọ igbaniwọle alakoso ni a lo, eyiti o jẹ ki ipinnu ọrọ igbaniwọle rọrun nipasẹ agbara iro. Niwọn igba ti csrf_token ti a ṣẹda fun olumulo kan tun dara fun olumulo miiran, ikọlu le ṣẹda oju-iwe kan ti, nigba ṣiṣi nipasẹ olumulo miiran, o le fa ki awọn aṣẹ ṣiṣẹ ni wiwo Mailman fun aṣoju olumulo yii ki o ni iṣakoso akọọlẹ rẹ.
orisun: opennet.ru