I biblioteket , der leverer håndterere til at beskytte mod gennem filsubstitution i formatet «Phar», (), som gør det muligt at omgå beskyttelsen mod deserialization af kode gennem substitution af tegnene «..» i stien. For eksempel kan en angriber bruge en URL i angrebet som «phar:///path/bad.phar/..../good.phar» og biblioteket vil præsentere det grundlæggende navn «/path/good.phar» ved kontrol, selvom filen «/path/bad.phar» vil blive brugt i den videre behandling af en sådan sti.
Biblioteket er udviklet af skaberne af CMS TYPO3, men anvendes også i projekter som Drupal og Joomla, hvilket gør dem sårbare. Problemet er blevet løst i versioner . Drupal-projektet har løst problemet i opdateringerne 7.67, 8.6.16 og 8.7.1. I Joomla optræder problemet fra version 3.9.3 og er løst i version 3.9.6. For at løse problemet i TYPO3 skal biblioteket PharStreamWrapper opdateres.
Fra en praktisk synsvinkel giver sårbarheden i PharStreamWrapper en Drupal Core-bruger med administratorrettigheder til temaer (‘Administer theme’) mulighed for at uploade en ondsindet phar-fil og udføre den PHP-kode, der er gemt i den, som om det var et legitimt phar-arkiv. Det er vigtigt at bemærke, at angrebet «Phar deserialization» består i, at når filer bliver tjekket ved hjælp af PHP-funktionen file_exists(), udfører denne funktion automatisk deserialization af metadata fra Phar-filer (PHP Archive) ved behandling af stier, der begynder med «phar:///». Overførsel af phar-filen kan ske i form af et billede, da funktionen file_exists() bestemmer MIME-typen ud fra indholdet, ikke ud fra filtypen.
Kilde: opennet.ru
