CVE-2020-28949
Yüksek CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 7.8
- EPSS
- 84.6%
- CWE
- NVD-CWE-noinfo
- KEV Durumu
- Evet
Yayım tarihi: 19 Kasım 2020 · CISA KEV son iyileştirme tarihi: 15 Eylül 2022
Etkilenen: php archive_tar
Archive_Tar 1.4.10 sürümüne kadar sadece phar saldırılarını engellemek için :// dosya adı sanitizasyonu vardır ve bu nedenle diğer stream-wrapper saldırıları (örneğin, file:// kullanarak dosyaları üzerine yazma) hala başarılı olabilir.
Orijinal açıklama (İngilizce)
Archive_Tar through 1.4.10 has :// filename sanitization only to address phar attacks, and thus any other stream-wrapper attack (such as file:// to overwrite files) can still succeed.
Referanslar
- http://packetstormsecurity.com/files/161095/PEAR-Archive_Tar-Arbitrary-File-Write.html
- https://github.com/pear/Archive_Tar/issues/33
- https://lists.debian.org/debian-lts-announce/2020/11/msg00045.html
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/42GPGVVFTLJYAKRI75IVB5R45NYQGEUR/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/4V35LBRM6HBCXBVCITKQ4UEBTXO2EG7B/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/5KSFM672XW3X6BR7TVKRD63SLZGKK437/
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.