PEAR · Archive_Tar
CVE-2020-36193
PEAR Archive_Tar Improper Link Resolution Vulnerability
Cos'è
Tar.php in Archive_Tar through 1.4.11 allows write operations with Directory Traversal due to inadequate checking of symbolic links, a related issue to CVE-2020-28948.
CISA: PEAR Archive_Tar Tar.php allows write operations with directory traversal due to inadequate checking of symbolic links. PEAR stands for PHP Extension and Application Repository and it is an open-source framework and distribution system for reusable PHP components with known usage in third-party products such as Drupal Core and Red Hat Linux.
Cosa fare
Apply updates per vendor instructions.
Scadenza per le agenzie federali USA: 15 settembre 2022
- Aggiunta all'elenco CISA
- 25 agosto 2022
- Pubblicato
- 18 gennaio 2021
- Gravità
- Alta 7,5 CVSS 3.1
- Probabilità di attacchi nei prossimi 30 giorni (EPSS)
- 71% tra il 0,6% più alto di tutte le vulnerabilità note
- Tipo di debolezza
- CWE-22 CWE-59
- Più dettagli
- NVD · CVE.org · CISA
Tutte le fonti (10)
- https://security.gentoo.org/glsa/202101-23
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YKD5WEFA4WT6…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/FOZNK4FIIV7F…
- https://www.debian.org/security/2021/dsa-4894
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VJQQYDAOWHD6…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/42GPGVVFTLJY…
- https://github.com/pear/Archive_Tar/commit/cde460582ff389404b5b3ccb59374e9b389de916
- https://www.drupal.org/sa-core-2021-001
- https://lists.debian.org/debian-lts-announce/2021/01/msg00018.html
- https://lists.debian.org/debian-lts-announce/2021/04/msg00007.html
Altre falle sfruttate di PEAR
| Aggiunto | Vulnerabilità | Prodotto | Gravità | Probabilità di attacco |
|---|---|---|---|---|
| 25 ago 2022 | Deserialization of Untrusted Data | Archive_Tar | Alta 7,8 | 85% |
Fonti: Known Exploited Vulnerabilities (CISA, pubblico dominio), CVE records (cve.org) e EPSS (FIRST). La probabilità di attacco è la stima EPSS che qualcuno provi a sfruttare la falla nei prossimi 30 giorni.