פגיעות בספריית PharStreamWrapper משפיעה על Drupal, Joomla ו-Typo3

בספרייה PharStreamWrapper, המספק למטפלים להגן מפניהם הַחזָקָה התקפות באמצעות החלפת קבצים בפורמט "Phar", מזוהה פגיעות (CVE-2019-11831), המאפשר לך לעקוף את הגנת הסרת הקוד על ידי החלפת תווי ".." בנתיב. לדוגמה, תוקף יכול להשתמש בכתובת URL כמו "phar:///path/bad.phar/../good.phar" להתקפה, והספרייה תדגיש את שם הבסיס "/path/good.phar" כאשר בדיקה, למרות שבמהלך עיבוד נוסף של נתיב כזה נעשה שימוש בקובץ "/path/bad.phar".

Библиотека разработана создателями CMS TYPO3, но также применяется в проектах Drupal и Joomla, что делает их также подверженными уязвимости. Проблема устранена в выпусках PharStreamWrapper 2.1.1 ו-3.1.1. Проект Drupal устранил проблему в обновлениях 7.67, 8.6.16 и 8.7.1. В Joomla проблема проявляется начиная с версии 3.9.3 и устранена в выпуске 3.9.6. Для устранения проблемы в TYPO3 требуется обновить библиотеку PharStreamWapper.

С практической стороны уязвимость в PharStreamWapper позволяет пользователю Drupal Core, имеющему полномочия администратора тем оформления (‘Administer theme’), загрузить вредоносный phar-файл и добиться выполнения размещённого в нём PHP-кода под видом легитимного phar-архива. Напомним, что суть атаки «Phar deserialization» в том, что при проверке загруженных файлов помощи PHP-функции file_exists(), эта функция автоматически выполняет десериализацию метаданных из файлов Phar (PHP Archive) при обработке путей, начинающихся с «phar://». Передача phar-файла возможна под видом картинки, так как функция file_exists() определяет MIME-тип по содержимому, а не по расширению.

מקור: OpenNet.ru