PharStreamWrapper लाइब्रेरी में मौजूद एक सुरक्षा खामी प्रभावित करती है। Drupal, Joomla और Typo3

पुस्तकालय में फ़ारस्ट्रीमरैपर, जो हैंडलर को सुरक्षा प्रदान करता है की आक्रमण "फ़ार" प्रारूप में फ़ाइल प्रतिस्थापन के माध्यम से, पहचान की भेद्यता (CVE-2019-11831), जो आपको पथ में ".." वर्णों को प्रतिस्थापित करके कोड डिसेरिएलाइज़ेशन सुरक्षा को बायपास करने की अनुमति देता है। उदाहरण के लिए, एक हमलावर किसी हमले के लिए "phar:///path/ Bad.phar/../good.phar" जैसे URL का उपयोग कर सकता है, और लाइब्रेरी आधार नाम "/path/good.phar" को हाइलाइट करेगी जब जाँच, हालाँकि ऐसे पथ की आगे की प्रक्रिया के दौरान फ़ाइल "/path/ Bad.phar" का उपयोग किया जाएगा।

इस लाइब्रेरी को CMS TYPO3 के निर्माताओं द्वारा विकसित किया गया था, लेकिन इसका उपयोग अन्य परियोजनाओं में भी किया जाता है। Drupal и Joomlaजिसके कारण वे असुरक्षित भी हो जाते हैं। यह समस्या रिलीज़ में ठीक कर दी गई है। फ़ारस्ट्रीमरैपर 2.1.1 और 3.1.1। परियोजना Drupal अपडेट 7.67, 8.6.16 और 8.7.1 में इस समस्या को ठीक कर दिया गया है। Joomla यह समस्या संस्करण 3.9.3 से मौजूद है और इसे रिलीज़ 3.9.6 में ठीक कर दिया गया था। TYPO3 में इस समस्या को ठीक करने के लिए, आपको PharStreamWapper लाइब्रेरी को अपडेट करना होगा।

व्यावहारिक दृष्टिकोण से, PharStreamWapper में मौजूद खामी उपयोगकर्ता को अनुमति देती है Drupal कोर, 'थीम एडमिनिस्टर' विशेषाधिकारों के साथ, एक दुर्भावनापूर्ण फ़ार फ़ाइल अपलोड करता है और वैध फ़ार आर्काइव के रूप में छिपे हुए उसके अंदर मौजूद PHP कोड को निष्पादित करता है। याद दिला दें कि "फ़ार डीसीरियलाइज़ेशन" हमला, अपलोड की गई हेल्प फ़ाइलों में PHP फ़ंक्शन file_exists() की जाँच करते समय, "phar://" से शुरू होने वाले पथों को संसाधित करते समय, फ़ार (PHP आर्काइव) फ़ाइलों से मेटाडेटा को स्वचालित रूप से डीसीरियलाइज़ करके काम करता है। एक फ़ार फ़ाइल को छवि के रूप में स्थानांतरित करना संभव है, क्योंकि file_exists() फ़ाइल के एक्सटेंशन के बजाय उसकी सामग्री के आधार पर MIME प्रकार निर्धारित करता है।

स्रोत: opennet.ru