CVE-2023-49282
Açıklama
msgraph-sdk-php, PHP için Microsoft Graph Kitaplığıdır. Microsoft Graph PHP SDK, vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php dosyasını erişebilen ve çalıştırabilen herhangi bir uygulamadan phpInfo() fonksiyonunun kullanılmasına olanak tanıyan test kodu içeren paketler yayınlamıştır. phpInfo fonksiyonu sistem bilgilerini ifşa eder. Zafiyet, PHP SDK'nın phpinfo() fonksiyonuna çağrı içeren GetPhpInfo.php betiğini etkilemektedir. Bu zafiyetin istismar edilebilmesi için sunucuda bir yanlış yapılandırmanın mevcut olması gerekir; örneğin, PHP uygulamasının /vendor dizininin web üzerinden erişilebilir olması. Zafiyet ve sunucu yanlış yapılandırmasının kombinasyonu, bir saldırganın phpinfo() metodunu çalıştıran bir HTTP isteği oluşturmasına izin verir. Saldırgan daha sonra yapılandırma, modüller ve ortam değişkenleri gibi sistem bilgilerine erişebilir ve daha sonra ele geçirilen gizli bilgileri ek verilere erişmek için kullanabilir. Bu sorun 1.109.1 ve 2.0.0-RC5 sürümlerinde düzeltilmiştir. Güncellenmiş vendor paketiyle hemen dağıtım yapılması mümkün değilse, şu geçici çözüm yolları uygulanabilir: `vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php` dosyası silinebilir, `/vendor` dizinine erişim kaldırılabilir veya phpinfo fonksiyonu devre dışı bırakılabilir.
Nasıl düzeltilir
- microsoft graph1.109.1, 2.0.1 ya da sonraki bir sürüm
- microsoft/microsoft-graph1.109.1, 2.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microsoft graph | 1.16.0 ≤ v < 1.109.1, 2.0.0 ≤ v < 2.0.1 | 1.109.1, 2.0.1 |
| microsoft/microsoft-graphPackagist | 1.16.0 ≤ v < 1.109.1, 2.0.0-RC1 ≤ v < 2.0.1 | 1.109.1, 2.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.