Haavatavus PharStreamWrapper raamatukogus, mis mõjutab Drupalit, Joomlat ja Typo3

Teegis PharStreamWrapper, mis pakub töötlemise käsitlemiseks kaitsemehhanisme läbi rünnakute failide asendamisega formaatides «Phar», tuvastatud haavatavus (CVE-2019-11831), mis võimaldab kõrvaldada koodi deserialiseerimise kaitse, asendades sümboleid «..» teedes. Näiteks võib ründaja kasutada rünnaku jaoks URL-i nagu «phar://path/bad.phar/../good.phar», ja teek tuvastab kontrollimisel põhiteed «/path/good.phar», kuigi edasise töötlemise käigus kasutatakse faili «/path/bad.phar».

Teek on välja töötatud CMS TYPO3 looja poolt, kuid seda kasutatakse ka projektides Drupal ja Joomla, muutes need samuti haavatavaks. Probleem on lahendatud väljalasetes PharStreamWrapper 2.1.1 ja 3.1.1. Drupal projekt lahendas probleemi värskendustes 7.67, 8.6.16 ja 8.7.1. Joomlas avaldub probleem alates versioonist 3.9.3 ja on lahendatud väljalaske 3.9.6-s. TYPO3 puhul peab probleemi lahendamiseks uuendama PharStreamWapper teeki.

Praktiliselt võimaldab haavatavus PharStreamWapper Drupal Core kasutajal, kellel on teema haldamise õigused (‘Administer theme’), laadida üles pahatahtliku phar-faili ja saavutada selle kaudu PHP-koodi täitmine, esitades selle seadusliku phar-archiivina. Tuletame meelde, et «Phar deserialization» rünnaku sisu seisneb selles, et inotseeritud failide kontrolldes, PHP funktsioon file_exists() deserialiseerib automaatselt metainfot Phar failidest (PHP Archive) teed tööteldes, mis algavad «phar://»-ga. Phar-faili edastamine on võimalik pildi näol, kuna file_exists() funktsioon määrab MIME-tüübi sisu järgi, mitte laiendi järgi.

Allikas: opennet.ru