Ранливост во библиотеката PharStreamWrapper што влијае на Drupal, Joomla и Typo3

Во библиотека PharStreamWrapper, кој обезбедува ракувачи за заштита од на напади преку замена на датотека во формат „Phar“, идентификувани ранливост (CVE-2019-11831), што ви овозможува да ја заобиколите заштитата од десериализација на кодот со замена на знаците „..“ на патеката. На пример, напаѓачот може да користи URL како „phar:///path/bad.phar/../good.phar“ за напад, а библиотеката ќе го означи основното име „/path/good.phar“ кога проверка, иако при понатамошна обработка на таква патека Ќе се користи датотеката „/path/bad.phar“.

Библиотеката е развиена од креаторите на CMS TYPO3, но се користи и во проектите на Друпал и Џумла, што ги прави исто така подложни на ранливости. Проблемот е поправен во изданија PharStreamWrapper 2.1.1 и 3.1.1. Проектот Друпал го реши проблемот во ажурирањата 7.67, 8.6.16 и 8.7.1. Во Joomla проблемот се појавува уште од верзијата 3.9.3 и е поправен во изданието 3.9.6. За да го решите проблемот во TYPO3, треба да ја ажурирате библиотеката PharStreamWapper.

Од практична страна, ранливоста во PharStreamWapper му дозволува на корисникот на Drupal Core со дозволи „Администрирај тема“ да постави злонамерна phar-датотека и да предизвика PHP-кодот содржан во неа да се изврши под маската на легитимна фармаархива. Потсетете се дека суштината на нападот „Phar deserialization“ е дека при проверка на вчитаните датотеки за помош на функцијата PHP file_exists(), оваа функција автоматски ги десерилизира метаподатоците од Phar-датотеките (PHP Архива) кога ги обработува патеките што започнуваат со „phar://“ . Можно е да се префрли phar-датотека како слика, бидејќи функцијата file_exists() го одредува типот MIME по содржина, а не по проширување.

Извор: opennet.ru