Sa library , nga naghatag ug mga tigdumala aron mapanalipdan batok pinaagi sa pag-ilis sa file sa βPharβ format, (), nga nagtugot kanimo sa paglaktaw sa proteksyon sa deserialization sa code pinaagi sa pag-ilis sa ".." nga mga karakter sa agianan. Pananglitan, ang usa ka tig-atake mahimong mogamit sa usa ka URL sama sa "phar:///path/bad.phar/../good.phar" alang sa usa ka pag-atake, ug ang librarya magpasiugda sa base nga ngalan "/path/good.phar" kung pagsusi, bisan pa sa panahon sa dugang nga pagproseso sa maong dalan Ang file "/path/bad.phar" gamiton.
Ang librarya gihimo sa mga tiglalang sa CMS TYPO3, apan gigamit usab sa mga proyekto. Drupal ΠΈ Joomla, nga naghimo kanila nga huyang usab. Ang isyu naayo na sa mga pagpagawas Proyekto Drupal Naayo ang isyu sa mga update nga 7.67, 8.6.16 ug 8.7.1. Joomla Ang isyu naglungtad sukad pa sa bersyon 3.9.3 ug naayo na sa release 3.9.6. Aron ayuhon ang isyu sa TYPO3, kinahanglan nimong i-update ang PharStreamWapper library.
Gikan sa praktikal nga panglantaw, ang kahuyangan sa PharStreamWapper nagtugot sa tiggamit Drupal Ang Core, nga adunay mga pribilehiyo nga 'Administer theme', nag-upload og malisyosong phar file ug nagpatuman sa PHP code nga anaa sa sulod, nga nagtakuban isip usa ka lehitimong phar archive. Isip pahinumdom, ang "Phar deserialization" attack molihok pinaagi sa awtomatikong pag-deserialize sa metadata gikan sa Phar (PHP Archive) nga mga file kung susihon ang gi-upload nga mga help file para sa PHP function nga file_exists() kung giproseso ang mga agianan nga nagsugod sa "phar://." Posible ang pagbalhin sa usa ka phar file isip usa ka imahe, tungod kay ang file_exists() nagtino sa tipo sa MIME base sa sulud sa file, dili sa extension niini.
Source: opennet.ru
