Уязвимост в библиотеката PharStreamWrapper, засягаща Drupal, Joomla и Typo3

В библиотеката PharStreamWrapper, предоставяща обработчици за защита от извършване на атаки чрез подмяна на файлове в формат 'Phar', открита е уязвимост (CVE-2019-11831), позволяваща заобикаляне на защитата срещу десериализация на код чрез подмяна на символи '..' в пътя. Например, нападателят може да използва за атака URL от вида 'phar:///path/bad.phar/../good.phar' и библиотеката ще извлече при проверка основното име '/path/good.phar', макар при по-нататъшна обработка на такъв път да бъде използван файл '/path/bad.phar'.

Библиотеката е разработена от създателите на CMS TYPO3, но също така се използва в проектите Drupal и Joomla, което ги прави също уязвими. Проблемът е отстранен в версиите PharStreamWrapper 2.1.1 и 3.1.1. Проектът Drupal отстрани проблема в актуализациите 7.67, 8.6.16 и 8.7.1. В Joomla проблемът се проявява от версия 3.9.3 и е отстранен в версия 3.9.6. За отстраняване на проблема в TYPO3 е необходимо да се обнови библиотеката PharStreamWrapper.

От практическа гледна точка, уязвимостта в PharStreamWrapper позволява на потребителя на Drupal Core, който има права на администратор на теми ('Administer theme'), да качи злонамерен phar файл и да предизвика изпълнението на разположения в него PHP код под предлог на легитимен phar архив. Напомняме, че същността на атаката 'Phar десериализация' е, че при проверка на качените файлове с помощта на PHP функцията file_exists(), тази функция автоматично извършва десериализация на метаданни от файлове Phar (PHP Archive) при обработка на пътища, започващи с 'phar:///'. Предаването на phar файл е възможно под предлог на изображение, тъй като функцията file_exists() определя MIME типа по съдържанието, а не по разширението.

Източник: opennet.ru