Teegis , mis pakub töötlemise käsitlemiseks kaitsemehhanisme failide asendamisega formaatides «Phar», (), mis võimaldab kõrvaldada koodi deserialiseerimise kaitse, asendades sümboleid «..» teedes. Näiteks võib ründaja kasutada rünnaku jaoks URL-i nagu «phar://path/bad.phar/../good.phar», ja teek tuvastab kontrollimisel põhiteed «/path/good.phar», kuigi edasise töötlemise käigus kasutatakse faili «/path/bad.phar».
Teek on välja töötatud CMS TYPO3 looja poolt, kuid seda kasutatakse ka projektides Drupal ja Joomla, muutes need samuti haavatavaks. Probleem on lahendatud väljalasetes . Drupal projekt lahendas probleemi värskendustes 7.67, 8.6.16 ja 8.7.1. Joomlas avaldub probleem alates versioonist 3.9.3 ja on lahendatud väljalaske 3.9.6-s. TYPO3 puhul peab probleemi lahendamiseks uuendama PharStreamWapper teeki.
Praktiliselt võimaldab haavatavus PharStreamWapper Drupal Core kasutajal, kellel on teema haldamise õigused (‘Administer theme’), laadida üles pahatahtliku phar-faili ja saavutada selle kaudu PHP-koodi täitmine, esitades selle seadusliku phar-archiivina. Tuletame meelde, et «Phar deserialization» rünnaku sisu seisneb selles, et inotseeritud failide kontrolldes, PHP funktsioon file_exists() deserialiseerib automaatselt metainfot Phar failidest (PHP Archive) teed tööteldes, mis algavad «phar://»-ga. Phar-faili edastamine on võimalik pildi näol, kuna file_exists() funktsioon määrab MIME-tüübi sisu järgi, mitte laiendi järgi.
Allikas: opennet.ru
