BDU:2024-01128

Уязвимость сценариев InstalledVersions.php и install.php менеджера зависимостей для PHP Composer, позволяющая нарушителю выполнить произвольный код и повысить свои привилегии

Опубликовано: 2024-02-12

Описание

Уязвимость сценариев InstalledVersions.php и install.php менеджера зависимостей для PHP Composer связана с включением функций из недостоверной контролируемой области. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код и повысить свои привилегии

Затрагиваемое ПО и версии

РЕД ОС (7.3)Composer (от 2.0.0 до 2.2.23)Composer (от 2.3.0 до 2.7.0)

Способ устранения

Использование рекомендаций:
Для Composer:
https://github.com/composer/composer/commit/64e4eb356b159a30c766cd1ea83450a38dc23bf5
https://github.com/composer/composer/releases/tag/2.7.0
https://github.com/composer/composer/releases/tag/2.2.23

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	6.8 — высокая опасность

Источники и патчи

https://github.com/composer/composer/commit/64e4eb356b159a30c766cd1ea83450a38dc23bf5 https://github.com/composer/composer/security/advisories/GHSA-7c6p-848j-wh5h http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Проверьте безопасность своего сайта и почты → Полная проверка домена