CVE-2022-24828
Açıklama
Composer, PHP programlama dili için bir bağımlılık yöneticisidir. `VcsDriver::getFileContent` fonksiyonunu çağırmak için Composer kodu kullanan entegratörler, kullanıcının `$file` veya `$identifier` argümanını kontrol edebilmesi durumunda bir kod enjeksiyonu zafiyetine sahip olabilir. Bu durum, örneğin packagist.org üzerinde, composer.json dosyasındaki `readme` alanının; `$file` argümanı aracılığıyla hg/Mercurial'e veya rastgele verilere izin verildiği takdirde `$identifier` argümanı aracılığıyla git'e parametre enjekte etmek için bir vektör olarak kullanılabildiği bir zafiyete yol açmaktadır (Packagist buna izin vermemektedir ancak diğer entegratörler verebilir). Composer'ın kendisi, `getFileContent` fonksiyonunu `$file`/`$identifier` içerisine rastgele veriler göndererek çağırmadığı için bu zafiyetten etkilenmemelidir. Bildiğimiz kadarıyla bu durum kötüye kullanılmamıştır ve zafiyet, raporlandıktan sonra bir gün içinde packagist.org ve Private Packagist üzerinde yamalanmıştır.
Nasıl düzeltilir
- getcomposer composer1.10.26, 2.2.12, 2.3.5 ya da sonraki bir sürüm
- tenable tenable.sc5.21.0 ya da sonraki bir sürüm
- composer/composer1.10.26, 2.2.12, 2.3.5 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QD7JQWL6C4GVROO25DTXWYWM6BPOPPCG/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/GWT6LDSRY7SFMTDZWJ4MS2ZBXHL7VQEF/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/625MT3IKWKFVIWLSYZFSXHVUA2LES7YQ/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getcomposer composer | v < 1.10.26, 2.0.0 ≤ v < 2.2.12, 2.3.0 ≤ v < 2.3.5 | 1.10.26, 2.2.12, 2.3.5 |
| tenable tenable.sc | v < 5.21.0 | 5.21.0 |
| fedoraproject fedora | 34, 35, 36 | — |
| composer/composerPackagist | v < 1.10.26, 2.0 ≤ v < 2.2.12, 2.3 ≤ v < 2.3.5 | 1.10.26, 2.2.12, 2.3.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.