V knižnici , poskytujúcou spracovateľov na ochranu pred cez substitúciu súborov vo formáte „Phar“. (), čo umožňuje obídenie ochrany pred deserializáciou kódu prostredníctvom substitúcie znakov „..“ v ceste. Napríklad, útočník môže použiť na útok URL vo forme „phar://path/bad.phar/../good.phar“ a knižnica pri kontrole vyberie základné meno „/path/good.phar“, hoci pri ďalšom spracovaní podobnej cesty bude použitý súbor „/path/bad.phar“.
Knižnica bola vyvinutá tvorcami CMS TYPO3, ale tiež sa aplikuje v projektoch Drupal a Joomla, čo ich robí taktiež náchylnými na zraniteľnosť. Problém bol vyriešený vo vydaniach . Projekt Drupal opravil problém v aktualizáciách 7.67, 8.6.16 a 8.7.1. V Joomla sa problém prejavuje od verzie 3.9.3 a bol vyriešený vo vydaní 3.9.6. Na odstránenie problému v TYPO3 je potrebné aktualizovať knižnicu PharStreamWapper.
Z praktického hľadiska zraniteľnosť v PharStreamWapper umožňuje používateľovi Drupal Core, ktorý má oprávnenia administrátora šablóny („Administer theme“), nahrať škodlivý phar-súbor a dosiahnuť vykonanie v ňom umiestneného PHP kódu ako legitímneho phar-archívu. Pripomeňme, že podstatou útoku „Phar deserialization“ je to, že pri kontrole nahratých súborov pomocou PHP funkcie file_exists(), táto funkcia automaticky vykonáva deserializáciu metadát zo súborov Phar (PHP Archive) pri spracovaní ciest, ktoré začínajú s „phar://“. Prenos phar-súboru je možný pod zámienkou obrázka, pretože funkcia file_exists() určuje MIME typ na základe obsahu, nie na základe prípony.
Zdroj: opennet.ru
