PEAK XOOPS - phpmailerをsendmailで使った時のコマンドインジェクション

http://larholm.com/2007/06/11/phpmailer-0day-remote-execution/

この件、恥ずかしながら、大垣さんのブログから知りました。（やはり大垣さんは素晴らしい！）
http://blog.ohgaki.net/index.php/yohgaki/2007/06/12/phpmailera_sa_a_sa_a_ca_sa_ca_sa_ma_ma_s

この穴を突けば、攻撃者がいきなりコマンドを実行できます。

XOOPSも、phpmailerを利用してますので、本来なら緊急の穴なのですが、実はデフォルトがphp mail() であるため、ここをあえてsendmailに変更した人だけが対象となります。

とにかく、一般設定->メール設定において、メール送信方法がsendmailとなっていないことを確認してください。通常、sendmailをコマンドとして利用できるなら、php mail()関数だって利用できるはずです。（よほど変な設定のホスティングサービスでもなければ）

とりあえず、Protector-3.04 では、このチェックも入れてみました。
メール設定がsendmailだったら、「いますぐ変更して！」という旨のアラートを出します。

検索でヒットするように、Protectorが出力するアラートメッセージを貼り付けておきます。

"phpmailer security hole! Change the preferences of mail from "sendmail" to another, or upgrade the core right now!"