CVE-2023-49283
Açıklama
PHP için Microsoft Graph Kitaplığı olan microsoft-graph-core'da bir güvenlik açığı tespit edilmiştir. Microsoft Graph Beta PHP SDK tarafından yayınlanan paketler, `vendor/microsoft/microsoft-graph-core/tests/GetPhpInfo.php` dosyasındaki dosyaya erişebilen ve dosyayı çalıştırabilen herhangi bir uygulamanın phpInfo() fonksiyonunu kullanmasına olanak tanıyan test kodları içermektedir. phpInfo fonksiyonu sistem bilgilerini ifşa eder. Güvenlik açığı, PHP SDK'nın phpinfo() fonksiyonuna çağrı içeren GetPhpInfo.php betiğini etkilemektedir. Bu zafiyetin istismar edilebilmesi için sunucuda bir yapılandırma hatasının bulunması gerekir; örneğin, PHP uygulamasının /vendor dizininin web üzerinden erişilebilir olması. Zafiyet ve sunucu yapılandırma hatasının kombinasyonu, bir saldırganın phpinfo() metodunu çalıştıran bir HTTP isteği oluşturmasına izin verir. Saldırgan daha sonra yapılandırma, modüller ve ortam değişkenleri gibi sistem bilgilerine erişebilir ve ardından ele geçirilen gizli bilgileri ek verilere erişmek için kullanabilir. Bu sorun 2.0.2 sürümünde düzeltilmiştir. Güncellenmiş vendor paketiyle hemen dağıtım yapılması mümkün değilse, şu geçici çözüm yolları uygulanabilir: `vendor/microsoft/microsoft-graph-core/tests/GetPhpInfo.php` dosyasını silin, /vendor dizinine erişimi kaldırın veya phpinfo fonksiyonunu devre dışı bırakın.
Nasıl düzeltilir
- microsoft graph2.0.2 ya da sonraki bir sürüm
- microsoft/microsoft-graph-core2.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microsoft graph | v < 2.0.2 | 2.0.2 |
| microsoft/microsoft-graph-corePackagist | v < 2.0.2 | 2.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.