CVE-2024-24821

Composer, PHP dili için bir bağımlılık yöneticisidir. Etkilenen sürümlerde, Composer çağrıldığında yerel çalışma dizinindeki birkaç dosya, çalıştıran kullanıcının bağlamında dahil edilmektedir. Bu nedenle, belirli koşullar altında, değiştirilmiş dosyaların bulunduğu bir dizinde Composer çağrıldığında rastgele kod yürütülmesi; yerel yetki yükseltmeye, yanal kullanıcı hareketine veya kötü amaçlı kod yürütülmesine yol açabilir. composer.phar'ın self-update işlemi de dahil olmak üzere tüm Composer CLI komutları etkilenmektedir. Aşağıdaki senaryolar yüksek risk taşımaktadır: Composer'ın sudo ile çalıştırılması, güvenilmeyen projelerde Composer'ı çalıştırabilen Pipeline'lar ve aynı proje üzerinde bireysel olarak Composer çalıştıran geliştiricilerin bulunduğu paylaşılan ortamlar. Bu güvenlik açığı 2.7.0 ve 2.2.23 sürümlerinde giderilmiştir. Yamalanmış sürümlerin mümkün olan en kısa sürede uygulanması önerilir. Bunun mümkün olmadığı durumlarda şunlar yapılmalıdır: Root yetki yükseltmesini hafifletmek için tüm kullanıcıların sudo composer ayrıcalıklarını kaldırın ve Composer'ı güvenilmeyen bir dizin içinde çalıştırmaktan kaçının veya gerekirse `vendor/composer/InstalledVersions.php` ve `vendor/composer/installed.php` içeriklerinin güvenilmeyen kod içermediğini doğrulayın. Bu dosyalar ayrıca şu şekilde sıfırlanabilir: ```sh rm vendor/composer/installed.php vendor/composer/InstalledVersions.php composer install --no-scripts --no-plugins ```