CVE-2021-32708
Təsvir
Flysystem PHP üçün açıq mənbəli fayl saxlama kitabxanasıdır. 1.x və 2.x versiyalarında istifadə olunan boşluqların normallaşdırılması bütün unicode boşluqlarını silir. Müəyyən spesifik şərtlər daxilində bu, bədniyyətli istifadəçiyə uzaqdan kodun icrasına şərait yarada bilər. Şərtlər bunlardır: istifadəçiyə yüklənmiş faylın yolunu və ya adını təmin etməyə icazə verilir, təmin edilən yol və ya fayl adı unicode simvollarına qarşı yoxlanılmır, təmin edilən fayl yolu icazə siyahısına (allow-list) deyil, qadağan olunmuşlar siyahısına (deny-list) əsasən yoxlanılır, təmin edilən yol və ya fayl adının genişlənməsində unicode boşluq simvolu var və yüklənmiş fayl PHP kodunun icrasına icazə verən kataloqda saxlanılır. Bu şərtlər ödənildikdə, istifadəçi hücum altında olan sistemdə ixtiyari kodu yükləyə və icra edə bilər. Unicode boşluqlarının silinməsi rəddetmə (istisna/exception) ilə əvəz edilmişdir. 1.x istifadəçiləri üçün 1.1.4 versiyasına, 2.x istifadəçiləri üçün isə 2.1.1 versiyasına yeniləmə tövsiyə olunur.
Necə düzəltmək olar
- thephpleague flysystem1.1.4, 2.1.1 və ya daha yeni versiya
- league/flysystem1.1.4, 2.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| thephpleague flysystem | 1.0.0 ≤ v < 1.1.4, 2.0.0 ≤ v < 2.1.1 | 1.1.4, 2.1.1 |
| fedoraproject fedora | 33, 34 | — |
| league/flysystemPackagist | v < 1.1.4, 2.0.0 ≤ v < 2.1.1 | 1.1.4, 2.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.