פגיעות בספריית PharStreamWrapper המשפיעה על דרופל, ג'ומלה ו-Typo3

בספרייה PharStreamWrapper, המספק למטפלים להגן מפניהם הַחזָקָה התקפות באמצעות החלפת קבצים בפורמט "Phar", מזוהה פגיעות (CVE-2019-11831), המאפשר לך לעקוף את הגנת הסרת הקוד על ידי החלפת תווי ".." בנתיב. לדוגמה, תוקף יכול להשתמש בכתובת URL כמו "phar:///path/bad.phar/../good.phar" להתקפה, והספרייה תדגיש את שם הבסיס "/path/good.phar" כאשר בדיקה, למרות שבמהלך עיבוד נוסף של נתיב כזה נעשה שימוש בקובץ "/path/bad.phar".

הספרייה פותחה על ידי יוצרי ה-CMS TYPO3, אך משמשת גם בפרויקטים של דרופל וג'ומלה, מה שהופך אותם לרגישים גם לפגיעויות. בעיה תוקנה במהדורות PharStreamWrapper 2.1.1 ו-3.1.1. פרויקט דרופל תיקן את הבעיה בעדכונים 7.67, 8.6.16 ו-8.7.1. בג'ומלה הבעיה מופיעה מאז גרסה 3.9.3 ותוקנה במהדורה 3.9.6. כדי לתקן את הבעיה ב-TYPO3, עליך לעדכן את ספריית PharStreamWapper.

בפן המעשי, פגיעות ב-PharStreamWapper מאפשרת למשתמש דרופל ליבה עם הרשאות 'ניהול נושא' להעלות קובץ phar זדוני ולגרום לקוד ה-PHP הכלול בו להתבצע במסווה של ארכיון phar לגיטימי. נזכיר כי המהות של מתקפת ה-"Phar deserialization" היא שכאשר בודקים את קבצי העזרה הטעונים של פונקציית PHP file_exists(), פונקציה זו מבטלת אוטומטית מטא נתונים מקבצי Phar (PHP Archive) בעת עיבוד נתיבים המתחילים ב-"phar://" . אפשר להעביר קובץ phar כתמונה, מכיוון שהפונקציה file_exists() קובעת את סוג MIME לפי תוכן, ולא לפי סיומת.

מקור: OpenNet.ru