V knjižnici , ki zagotavlja upravljalnike za zaščito pred z zamenjavo datoteke v formatu "Phar", (), ki vam omogoča, da obidete zaščito deserializacije kode z zamenjavo znakov »..« na poti. Napadalec lahko na primer za napad uporabi URL, kot je »phar:///path/bad.phar/../good.phar«, knjižnica pa bo označila osnovno ime »/path/good.phar«, ko preverjanje, čeprav bo med nadaljnjo obdelavo takšne poti uporabljena datoteka "/path/bad.phar".
Knjižnico so razvili ustvarjalci CMS TYPO3, uporablja pa se tudi v projektih Drupal и Joomla, zaradi česar so tudi ranljivi. Težava je odpravljena v izdajah Projekt Drupal Težava je bila odpravljena v posodobitvah 7.67, 8.6.16 in 8.7.1. Joomla Težava je prisotna že od različice 3.9.3 in je bila odpravljena v izdaji 3.9.6. Če želite odpraviti težavo v TYPO3, morate posodobiti knjižnico PharStreamWapper.
S praktičnega vidika ranljivost v PharStreamWapperju uporabniku omogoča Drupal Jedro s privilegiji »Administracija teme« naloži zlonamerno datoteko phar in izvede kodo PHP, ki je v njej, prikrito kot legitimni arhiv phar. Spomnimo se, da napad »deserializacije Phar« deluje tako, da samodejno deserializira metapodatke iz datotek Phar (PHP arhiv), ko preverja naložene datoteke pomoči za funkcijo PHP file_exists() pri obdelavi poti, ki se začnejo z »phar://«. Prenos datoteke phar kot slike je mogoč, saj file_exists() določi tip MIME na podlagi vsebine datoteke in ne njene končnice.
Vir: opennet.ru
