CVE-2019-11830

Obejście ochrony przed deserializacją w PharStreamWrapper dla TYPO3

CVSS 9.8v3.0pub. 2019-05-09upd. 2024-11-21

Błąd w komponencie PharMetaDataInterceptor pakietu PharStreamWrapper dla TYPO3 umożliwia atakującym ominięcie mechanizmu ochrony przed niebezpieczną deserializacją. Podatność otrzymała ocenę CVSS 9.8, co czyni ją krytycznym zagrożeniem umożliwiającym zdalne przejęcie kontroli nad systemem.

▸ Pokaż oryginał (EN)

PharMetaDataInterceptor in the PharStreamWrapper (aka phar-stream-wrapper) package 2.x before 2.1.1 and 3.x before 3.1.1 for TYPO3 mishandles Phar stub parsing, which allows attackers to bypass a deserialization protection mechanism.

🤖 Analiza AI

Jak działa

Komponent PharMetaDataInterceptor nieprawidłowo przetwarza tzw. Phar stub — sekcję nagłówkową archiwów PHP w formacie Phar. Błędna analiza tej sekcji pozwala atakującemu na spreparowanie złośliwego archiwum Phar, które ominie wbudowane zabezpieczenia przed deserializacją. W efekcie możliwe jest wymuszenie deserializacji niezaufanych danych, co w PHP może prowadzić do wykonania dowolnego kodu (RCE) poprzez łańcuchy gadgetów (POP chains).

Skutki

Atakujący może ominąć mechanizm ochrony przed deserializacją i potencjalnie doprowadzić do wykonania dowolnego kodu na serwerze, naruszenia poufności danych, integralności systemu oraz jego dostępności.

Mitygacja

Należy zaktualizować pakiet phar-stream-wrapper do wersji 2.1.1 (gałąź 2.x) lub 3.1.1 (gałąź 3.x). Patche dostępne są w repozytoriach GitHub projektu: https://github.com/TYPO3/phar-stream-wrapper/releases/tag/v2.1.1 oraz https://github.com/TYPO3/phar-stream-wrapper/releases/tag/v3.1.1