BDU:2021-05279

Опубликовано: 18 янв. 2021

Источник: fstec

CVSS3: 7.5

CVSS2: 5

EPSS Высокий

Описание

Уязвимость файла Tar.php пакета Archive_Tar библиотеки классов PHP PEAR связана с некорректной проверкой символьных ссылок. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

PHP Group

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

Astra Linux Special Edition для «Эльбрус»

PEAR Archive_Tar

Drupal

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

1.6 «Смоленск» (Astra Linux Special Edition)

8.0 (Debian GNU/Linux)

10 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

до 1.4.11 включительно (PEAR Archive_Tar)

от 7.0 до 7.78 (Drupal)

от 8.9.0 до 8.9.13 (Drupal)

от 9.0.0 до 9.0.11 (Drupal)

от 9.1.0 до 9.1.3 (Drupal)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

до 2.1 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Для PEAR:

использование рекомендаций производителя: https://github.com/pear/Archive_Tar/commit/cde460582ff389404b5b3ccb59374e9b389de916

https://www.drupal.org/sa-core-2021-001

Для ОС Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2020-36193

Для ОС Astra Linux:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47

Для ОСОН Основа:

Обновление программного обеспечения php-pear до версии 1:1.10.6+submodules+notgz-1.1+deb10u2

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет php-pear до 1:1.10.1+submodules+notgz-9+deb9u3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения php-pear до версии 1:1.10.1+submodules+notgz-9+deb9u3

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-36193
CVE

EPSS

Процентиль: 99%

0.81263

Высокий

7.5 High

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2020-36193

CVSS3: 7.5

ubuntu

больше 4 лет назад

Tar.php in Archive_Tar through 1.4.11 allows write operations with Directory Traversal due to inadequate checking of symbolic links, a related issue to CVE-2020-28948.

CVE-2020-36193

CVSS3: 7.5

redhat

больше 4 лет назад

Tar.php in Archive_Tar through 1.4.11 allows write operations with Directory Traversal due to inadequate checking of symbolic links, a related issue to CVE-2020-28948.

CVE-2020-36193

CVSS3: 7.5

nvd

больше 4 лет назад

Tar.php in Archive_Tar through 1.4.11 allows write operations with Directory Traversal due to inadequate checking of symbolic links, a related issue to CVE-2020-28948.

CVE-2020-36193

CVSS3: 7.5

debian

больше 4 лет назад

Tar.php in Archive_Tar through 1.4.11 allows write operations with Dir ...

openSUSE-SU-2021:3018-1

suse-cvrf

почти 4 года назад

Security update for php7-pear

EPSS

Процентиль: 99%

0.81263

Высокий

7.5 High

CVSS3

5 Medium

CVSS2