დაუცველობა PharStreamWrapper ბიბლიოთეკაში, რომელიც გავლენას ახდენს Drupal, Joomla და Typo3

ბიბლიოთეკაში PharStreamWrapper, რომელიც უზრუნველყოფს დამმუშავებლების დაცვას საქართველოს თავდასხმები ფაილის ჩანაცვლების გზით "Phar" ფორმატში, იდენტიფიცირებული დაუცველობა (CVE-2019-11831), რომელიც საშუალებას გაძლევთ გვერდის ავლით კოდის დესერიალიზაციის დაცვა ბილიკზე „..“ სიმბოლოების ჩანაცვლებით. მაგალითად, თავდამსხმელს შეუძლია შეტევისთვის გამოიყენოს URL, როგორიცაა „phar:///path/bad.phar/../good.phar“ და ბიბლიოთეკა მონიშნავს საბაზისო სახელს „/path/good.phar“, როდესაც შემოწმება, თუმცა ასეთი ბილიკის შემდგომი დამუშავებისას გამოყენებული იქნება ფაილი "/path/bad.phar".

ბიბლიოთეკა შეიქმნა CMS TYPO3-ის შემქმნელების მიერ, მაგრამ ასევე გამოიყენება Drupal-ისა და Joomla-ს პროექტებში, რაც მათ ასევე დაუცველობას ხდის. პრობლემა დაფიქსირდა გამოშვებებში PharStreamWrapper 2.1.1 და 3.1.1. დრუპალის პროექტმა დააფიქსირა პრობლემა 7.67, 8.6.16 და 8.7.1 განახლებებში. ჯომლაში პრობლემა ჩნდება 3.9.3 ვერსიიდან და დაფიქსირდა 3.9.6 გამოშვებაში. TYPO3-ში პრობლემის მოსაგვარებლად, თქვენ უნდა განაახლოთ PharStreamWapper ბიბლიოთეკა.

პრაქტიკული მხრივ, PharStreamWapper-ის დაუცველობა საშუალებას აძლევს Drupal Core-ის მომხმარებელს, რომელსაც აქვს „Administer theme“ ნებართვა, ატვირთოს მავნე phar ფაილი და გამოიწვიოს მასში შემავალი PHP კოდის შესრულება ლეგიტიმური ფარის არქივის საფარქვეშ. შეგახსენებთ, რომ "Phar deserialization" შეტევის არსი არის ის, რომ PHP ფუნქციის file_exists() ჩატვირთული დახმარების ფაილების შემოწმებისას, ეს ფუნქცია ავტომატურად ახდენს მეტამონაცემების დესერიალიზებას Phar ფაილებიდან (PHP Archive) "phar://"-ით დაწყებული ბილიკების დამუშავებისას. . შესაძლებელია phar ფაილის გამოსახულების სახით გადატანა, რადგან ფუნქცია file_exists() განსაზღვრავს MIME ტიპს შინაარსით და არა გაფართოებით.

წყარო: opennet.ru