Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-04879

Опубликовано: 29 сент. 2023
Источник: fstec
CVSS3: 8.8
CVSS2: 9
EPSS Низкий

Описание

Уязвимость файла composer.phar менеджера зависимостей для PHP Composer связана с работой register_argc_argv в php.ini. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды

Вендор

ООО «Ред Софт»
ООО «РусБИТех-Астра»
АО "НППКТ"
Nils Adermann, Jordi Boggiano

Наименование ПО

РЕД ОС
Astra Linux Special Edition
ОСОН ОСнова Оnyx
Composer

Версия ПО

7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
до 2.10.1 (ОСОН ОСнова Оnyx)
до 1.10.27 (Composer)
от 2.0.0 до 2.2.21 (Composer)
от 2.3.0 до 2.6.4 (Composer)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО "НППКТ" ОСОН ОСнова Оnyx до 2.10.1

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Для Composer:
https://github.com/composer/composer/commit/4fce14795aba98e40b6c4f5047305aba17a6120d
https://github.com/composer/composer/commit/955a48e6319c8962e5cd421b07c00ab3c728968c
https://github.com/composer/composer/commit/95e091c921037b7b6564942845e7b738f6b95c9c
https://github.com/composer/composer/security/advisories/GHSA-jm6m-4632-36hf
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения composer до версии 1.8.4-1+deb10u3
Для ОС Astra Linux:
обновить пакет composer до 1.8.4-1+deb10u4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17
Для Astra Linux Special Edition 4.7 для архитектуры ARM:
обновить пакет composer до 1.8.4-1+deb10u4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 86%
0.02866
Низкий

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVSS3: 6.4
ubuntu
больше 1 года назад

Composer is a dependency manager for PHP. Users publishing a composer.phar to a public web-accessible server where the composer.phar can be executed as a php file may be subject to a remote code execution vulnerability if PHP also has `register_argc_argv` enabled in php.ini. Versions 2.6.4, 2.2.22 and 1.10.27 patch this vulnerability. Users are advised to upgrade. Users unable to upgrade should make sure `register_argc_argv` is disabled in php.ini, and avoid publishing composer.phar to the web as this is not best practice.

CVSS3: 6.4
nvd
больше 1 года назад

Composer is a dependency manager for PHP. Users publishing a composer.phar to a public web-accessible server where the composer.phar can be executed as a php file may be subject to a remote code execution vulnerability if PHP also has `register_argc_argv` enabled in php.ini. Versions 2.6.4, 2.2.22 and 1.10.27 patch this vulnerability. Users are advised to upgrade. Users unable to upgrade should make sure `register_argc_argv` is disabled in php.ini, and avoid publishing composer.phar to the web as this is not best practice.

CVSS3: 6.4
debian
больше 1 года назад

Composer is a dependency manager for PHP. Users publishing a composer. ...

suse-cvrf
больше 1 года назад

Security update for php-composer2

CVSS3: 8.8
github
больше 1 года назад

Composer Remote Code Execution vulnerability via web-accessible composer.phar

EPSS

Процентиль: 86%
0.02866
Низкий

8.8 High

CVSS3

9 Critical

CVSS2