BDU:2021-06176 (CVE-2021-21706)

Уязвимость функции ZipArchive::extractTo интерпретатора PHP, позволяющая нарушителю создать или перезаписать файлы

Опубликовано: 2021-12-17

Описание

Уязвимость функции ZipArchive::extractTo интерпретатора PHP существует из-за неверного ограничения имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, создать или перезаписать файлы

Затрагиваемое ПО и версии

openSUSE TumbleweedPHP (от 7.3.0 до 7.3.31)PHP (от 7.4.0 до 7.4.24)PHP (от 8.0.0 до 8.0.11)Альт 8 СПОСОН ОСнова Оnyx (до 2.6)

Способ устранения

Использование рекомендаций:
Для PHP:
https://bugs.php.net/bug.php?id=81420

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2021-21706.html

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения php7.3 до версии 7.3.31-1~deb10u1osnovau3

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Оценка CVSS

Балл	7.1 — высокая опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2021-21706 https://bugs.php.net/bug.php?id=81420 https://security.netapp.com/advisory/ntap-20211029-0007/https://www.suse.com/security/cve/CVE-2021-21706.html https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/https://altsp.su/obnovleniya-bezopasnosti/

Проверьте безопасность своего сайта и почты → Полная проверка домена