PEAR · Archive_Tar
CVE-2020-28949
PEAR Archive_Tar Deserialization of Untrusted Data Vulnerability
Τι είναι
Archive_Tar through 1.4.10 has :// filename sanitization only to address phar attacks, and thus any other stream-wrapper attack (such as file:// to overwrite files) can still succeed.
CISA: PEAR Archive_Tar allows an unserialization attack because phar: is blocked but PHAR: is not blocked. PEAR stands for PHP Extension and Application Repository and it is an open-source framework and distribution system for reusable PHP components with known usage in third-party products such as Drupal Core and Red Hat Linux.
Τι να κάνετε
Apply updates per vendor instructions.
Προθεσμία για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ: 15 Σεπτεμβρίου 2022
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedora…
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedora…
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedora…
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedora…
- debian.org/security/2020/dsa-4817
- Προστέθηκε στη λίστα της CISA
- 25 Αυγούστου 2022
- Δημοσιεύθηκε
- 19 Νοεμβρίου 2020
- Σοβαρότητα
- Υψηλή 7,8 CVSS 3.1
- Πιθανότητα επιθέσεων τις επόμενες 30 ημέρες (EPSS)
- 85% στο κορυφαίο 0,3% όλων των γνωστών ευπαθειών
- Τύπος αδυναμίας
- CWE-74
- Περισσότερες λεπτομέρειες
- NVD · CVE.org · CISA
Όλες οι πηγές (12)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/4V35LBRM6HBC…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/NBYZSHYTIOBK…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/KWM4CTMEGAC4…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/5KSFM672XW3X…
- https://www.debian.org/security/2020/dsa-4817
- https://security.gentoo.org/glsa/202101-23
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VJQQYDAOWHD6…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/42GPGVVFTLJY…
- https://github.com/pear/Archive_Tar/issues/33
- https://www.drupal.org/sa-core-2020-013
- https://lists.debian.org/debian-lts-announce/2020/11/msg00045.html
- http://packetstormsecurity.com/files/161095/PEAR-Archive_Tar-Arbitrary-File-Write.html
Περισσότερα κενά ασφαλείας της PEAR που αξιοποιούνται
| Προστέθηκε | Ευπάθεια | Προϊόν | Σοβαρότητα | Πιθανότητα επίθεσης |
|---|---|---|---|---|
| 25 Αυγ 2022 | Improper Link Resolution | Archive_Tar | Υψηλή 7,5 | 71% |
Πηγές: Known Exploited Vulnerabilities (CISA, δημόσιος τομέας), CVE records (cve.org) και EPSS (FIRST). Η πιθανότητα επίθεσης είναι η εκτίμηση EPSS ότι κάποιος θα προσπαθήσει να εκμεταλλευτεί το κενό τις επόμενες 30 ημέρες.