Drupal, Joomla, Typo3 എന്നിവയെ ബാധിക്കുന്ന PharStreamWrapper ലൈബ്രറിയിലെ അപകടസാധ്യത

ലൈബ്രറിയിൽ ഫാർസ്ട്രീം റാപ്പർ, ഇതിൽ നിന്ന് പരിരക്ഷിക്കാൻ ഹാൻഡ്‌ലറുകൾ നൽകുന്നു ഓഫ് ആക്രമണങ്ങൾ "Phar" ഫോർമാറ്റിലുള്ള ഫയൽ സബ്സ്റ്റിറ്റ്യൂഷൻ വഴി, തിരിച്ചറിഞ്ഞു ദുർബലത (CVE-2019-11831), പാതയിൽ ".." പ്രതീകങ്ങൾ പകരം വയ്ക്കുന്നതിലൂടെ കോഡ് ഡീരിയലൈസേഷൻ പരിരക്ഷയെ മറികടക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു. ഉദാഹരണത്തിന്, ഒരു ആക്രമണത്തിന് "phar:///path/bad.phar/../good.phar" പോലുള്ള ഒരു URL ആക്രമണകാരിക്ക് ഉപയോഗിക്കാം, കൂടാതെ ലൈബ്രറി "/path/good.phar" എന്ന അടിസ്ഥാന നാമം ഹൈലൈറ്റ് ചെയ്യുമ്പോൾ പരിശോധിക്കുന്നു, എന്നിരുന്നാലും അത്തരമൊരു പാത്ത് കൂടുതൽ പ്രോസസ്സ് ചെയ്യുമ്പോൾ "/path/bad.phar" ഫയൽ ഉപയോഗിക്കും.

CMS TYPO3 യുടെ സ്രഷ്‌ടാക്കളാണ് ലൈബ്രറി വികസിപ്പിച്ചെടുത്തത്, എന്നാൽ ദ്രുപാൽ, ജൂംല പ്രോജക്‌റ്റുകളിലും ഇത് ഉപയോഗിക്കുന്നു, ഇത് അവരെ കേടുപാടുകൾക്ക് വിധേയമാക്കുന്നു. റിലീസുകളിൽ പ്രശ്നം പരിഹരിച്ചു PharStreamWrapper 2.1.1, 3.1.1. ദ്രുപാൽ പ്രോജക്റ്റ് 7.67, 8.6.16, 8.7.1 അപ്ഡേറ്റുകളിൽ പ്രശ്നം പരിഹരിച്ചു. ജൂംലയിൽ പ്രശ്നം 3.9.3 പതിപ്പ് മുതൽ ദൃശ്യമാകുന്നു, അത് റിലീസ് 3.9.6-ൽ പരിഹരിച്ചു. TYPO3 ലെ പ്രശ്നം പരിഹരിക്കാൻ, നിങ്ങൾ PharStreamWapper ലൈബ്രറി അപ്ഡേറ്റ് ചെയ്യേണ്ടതുണ്ട്.

പ്രായോഗിക വശത്ത്, PharStreamWapper-ലെ ഒരു അപകടസാധ്യത, 'അഡ്‌മിനിസ്റ്റർ തീം' അനുമതികളുള്ള ഒരു ദ്രുപാൽ കോർ ഉപയോക്താവിനെ ക്ഷുദ്രകരമായ ഫാർ ഫയൽ അപ്‌ലോഡ് ചെയ്യാനും അതിൽ അടങ്ങിയിരിക്കുന്ന PHP കോഡ് നിയമാനുസൃതമായ ഫാർ ആർക്കൈവിന്റെ മറവിൽ നടപ്പിലാക്കാനും അനുവദിക്കുന്നു. "Phar deserialization" ആക്രമണത്തിന്റെ സാരാംശം, PHP ഫംഗ്‌ഷൻ file_exists() ന്റെ ലോഡ് ചെയ്‌ത സഹായ ഫയലുകൾ പരിശോധിക്കുമ്പോൾ, “phar://” എന്ന് തുടങ്ങുന്ന പാതകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ ഈ ഫംഗ്‌ഷൻ Phar ഫയലുകളിൽ നിന്ന് (PHP ആർക്കൈവ്) മെറ്റാഡാറ്റ സ്വയമേവ ഡീസിയലൈസ് ചെയ്യുന്നു എന്നതാണ്. . ഫയൽ_എക്സിസ്‌റ്റ്() ഫംഗ്‌ഷൻ MIME തരം നിർണ്ണയിക്കുന്നത് ഉള്ളടക്കം അനുസരിച്ചാണ്, അല്ലാതെ വിപുലീകരണത്തിലൂടെയല്ല എന്നതിനാൽ, ഒരു ഫാർ ഫയൽ ഒരു ഇമേജായി കൈമാറാൻ സാധിക്കും.

അവലംബം: opennet.ru