PharStreamWrapper ბიბლიოთეკაში არსებული დაუცველობა გავლენას ახდენს Drupal, Joomla და Typo3

ბიბლიოთეკაში PharStreamWrapper, რომელიც უზრუნველყოფს დამმუშავებლების დაცვას საქართველოს თავდასხმები ფაილის ჩანაცვლების გზით "Phar" ფორმატში, იდენტიფიცირებული დაუცველობა (CVE-2019-11831), რომელიც საშუალებას გაძლევთ გვერდის ავლით კოდის დესერიალიზაციის დაცვა ბილიკზე „..“ სიმბოლოების ჩანაცვლებით. მაგალითად, თავდამსხმელს შეუძლია შეტევისთვის გამოიყენოს URL, როგორიცაა „phar:///path/bad.phar/../good.phar“ და ბიბლიოთეკა მონიშნავს საბაზისო სახელს „/path/good.phar“, როდესაც შემოწმება, თუმცა ასეთი ბილიკის შემდგომი დამუშავებისას გამოყენებული იქნება ფაილი "/path/bad.phar".

ბიბლიოთეკა შეიმუშავეს CMS TYPO3-ის შემქმნელებმა, მაგრამ ასევე გამოიყენება პროექტებში. Drupal и Joomla, რაც მათ ასევე დაუცველს ხდის. პრობლემა გამოსწორებულია რელიზებში. PharStreamWrapper 2.1.1 და 3.1.1პროექტი Drupal პრობლემა გამოსწორდა განახლებებში 7.67, 8.6.16 და 8.7.1. Joomla პრობლემა 3.9.3 ვერსიიდან არსებობს და 3.9.6 ვერსიაში გამოსწორდა. TYPO3-ში პრობლემის გამოსასწორებლად, თქვენ უნდა განაახლოთ PharStreamWapper ბიბლიოთეკა.

პრაქტიკული თვალსაზრისით, PharStreamWapper-ის დაუცველობა მომხმარებელს საშუალებას აძლევს Drupal Core, „თემის ადმინისტრირების“ პრივილეგიებით, ატვირთავს მავნე phar ფაილს და ასრულებს მასში შემავალ PHP კოდს, შენიღბული როგორც ლეგიტიმური phar არქივი. შეგახსენებთ, რომ „Phar დესერიალიზაციის“ შეტევა მუშაობს Phar (PHP Archive) ფაილებიდან მეტამონაცემების ავტომატურად დესერიალიზაციის გზით, როდესაც ამოწმებს ატვირთულ დახმარების ფაილებს PHP ფუნქციისთვის file_exists() „phar://“-ით დაწყებული ბილიკების დამუშავებისას. phar ფაილის სურათის სახით გადატანა შესაძლებელია, რადგან file_exists() განსაზღვრავს MIME ტიპს ფაილის შინაარსის მიხედვით და არა მისი გაფართოების მიხედვით.

წყარო: opennet.ru