PharStreamWrapper लाइब्रेरी में भेद्यता Drupal, Joomla और Typo3 को प्रभावित कर रही है

पुस्तकालय में फ़ारस्ट्रीमरैपर, जो हैंडलर को सुरक्षा प्रदान करता है की आक्रमण "फ़ार" प्रारूप में फ़ाइल प्रतिस्थापन के माध्यम से, पहचान की भेद्यता (CVE-2019-11831), जो आपको पथ में ".." वर्णों को प्रतिस्थापित करके कोड डिसेरिएलाइज़ेशन सुरक्षा को बायपास करने की अनुमति देता है। उदाहरण के लिए, एक हमलावर किसी हमले के लिए "phar:///path/ Bad.phar/../good.phar" जैसे URL का उपयोग कर सकता है, और लाइब्रेरी आधार नाम "/path/good.phar" को हाइलाइट करेगी जब जाँच, हालाँकि ऐसे पथ की आगे की प्रक्रिया के दौरान फ़ाइल "/path/ Bad.phar" का उपयोग किया जाएगा।

लाइब्रेरी को CMS TYPO3 के रचनाकारों द्वारा विकसित किया गया था, लेकिन इसका उपयोग Drupal और Joomla परियोजनाओं में भी किया जाता है, जो उन्हें कमजोरियों के प्रति भी संवेदनशील बनाता है। विज्ञप्ति में मुद्दा तय किया गया फ़ारस्ट्रीमरैपर 2.1.1 और 3.1.1. Drupal प्रोजेक्ट ने अपडेट 7.67, 8.6.16 और 8.7.1 में समस्या को ठीक किया। जूमला में समस्या संस्करण 3.9.3 से दिखाई देती है और रिलीज़ 3.9.6 में इसे ठीक कर दिया गया था। TYPO3 में समस्या को ठीक करने के लिए, आपको PharStreamWapper लाइब्रेरी को अपडेट करना होगा।

व्यावहारिक पक्ष पर, PharStreamWapper में एक भेद्यता एक Drupal Core उपयोगकर्ता को 'एडमिनिस्टर थीम' अनुमतियों के साथ एक दुर्भावनापूर्ण Phar फ़ाइल अपलोड करने और उसमें मौजूद PHP कोड को एक वैध Phar संग्रह की आड़ में निष्पादित करने की अनुमति देती है। याद रखें कि "फ़ार डिसेरिएलाइज़ेशन" हमले का सार यह है कि जब PHP फ़ंक्शन फ़ाइल_एक्सिस्ट्स () की लोड की गई सहायता फ़ाइलों की जाँच की जाती है, तो यह फ़ंक्शन "फ़ार: //" से शुरू होने वाले पथों को संसाधित करते समय स्वचालित रूप से फ़ार फ़ाइलों (PHP संग्रह) से मेटाडेटा को डिसेरिएलाइज़ करता है। . एक फ़ार फ़ाइल को एक छवि के रूप में स्थानांतरित करना संभव है, क्योंकि file_exists() फ़ंक्शन सामग्री द्वारा MIME प्रकार निर्धारित करता है, न कि एक्सटेंशन द्वारा।

स्रोत: opennet.ru