リモートのUbuntu 16.04 LTS/18.04 LTS/20.04 LTS/20.10ホストには、USN-4654-1アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.4.10までのArchive_Tarでは、phar: はブロックされますが、PHAR: はブロックされないため、非シリアル化攻撃が可能です。(CVE-2020-28948)

  - 1.4.10 までの Archive_Tar では、phar攻撃に対処するためだけに://ファイル名がサニタイズされるため、他のストリームラッパー攻撃 (ファイルを上書きするfile://など) が依然として成功します。(CVE-2020-28949) 

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

検出

Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : PEARの脆弱性 (USN-4654-1)

high Nessus プラグイン ID 143428

バージョン 1.8