BDU:2020-01708

Опубликовано: 08 мая 2019

Источник: fstec

CVSS3: 7.3

CVSS2: 7.5

EPSS Низкий

Описание

Уязвимость пакета PharStreamWrapper системы управления контентом TYPO3 связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию

Вендор

Canonical Ltd.

Сообщество свободного программного обеспечения

Fedora Project

TYPO3

Наименование ПО

Ubuntu

Debian GNU/Linux

Fedora

Drupal

PharStreamWrapper

Версия ПО

16.04 LTS (Ubuntu)

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

28 (Fedora)

8.0 (Debian GNU/Linux)

29 (Fedora)

12.04 ESM (Ubuntu)

30 (Fedora)

14.04 ESM (Ubuntu)

19.10 (Ubuntu)

20.04 (Ubuntu)

от 7.10 до 7.67 (Drupal)

от 7.8 до 8.6.16 (Drupal)

8.7 (Drupal)

от 2.0 до 2.1.1 (PharStreamWrapper)

от 3.0 до 3.1.1 (PharStreamWrapper)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

Fedora Project Fedora 28

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

Fedora Project Fedora 29

Canonical Ltd. Ubuntu 12.04 ESM

Fedora Project Fedora 30

Canonical Ltd. Ubuntu 14.04 ESM

Canonical Ltd. Ubuntu 19.10

Canonical Ltd. Ubuntu 20.04

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Debian:

https://www.debian.org/security/2019/dsa-4445

https://security-tracker.debian.org/tracker/DLA-1797-1

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/6QDJVUJPUW3RZ4746SC6BX4F4T6ZXNBH/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AUEXS4HRI4XZ2DTZMWAVQBYBTFSJ34AR/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/E3NUKPG7V4QEM6QXRMHYR4ABFMW5MM2P/

Для typo3:

https://typo3.org/security/advisory/typo3-psa-2019-007/

Для Drupal:

https://www.drupal.org/sa-core-2019-007

Для Ubuntu:

https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-11831.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 40%

0.00178

Низкий

7.3 High

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2019-11831

CVSS3: 9.8

ubuntu

около 6 лет назад

The PharStreamWrapper (aka phar-stream-wrapper) package 2.x before 2.1.1 and 3.x before 3.1.1 for TYPO3 does not prevent directory traversal, which allows attackers to bypass a deserialization protection mechanism, as demonstrated by a phar:///path/bad.phar/../good.phar URL.

CVE-2019-11831

CVSS3: 9.8

nvd

около 6 лет назад

CVE-2019-11831

CVSS3: 9.8

debian

около 6 лет назад

The PharStreamWrapper (aka phar-stream-wrapper) package 2.x before 2.1 ...

GHSA-xv7v-rf6g-xwrc

CVSS3: 9.8

github

больше 3 лет назад

Directory Traversal in typo3/phar-stream-wrapper

EPSS

Процентиль: 40%

0.00178

Низкий

7.3 High

CVSS3

7.5 High

CVSS2