リモートホストにインストールされているphp7-pearのバージョンは1.10.12-4.30より前のです。したがって、ALAS-2021-1466のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.4.10までのArchive_Tarでは、phar: はブロックされますが、PHAR: はブロックされないため、非シリアル化攻撃が可能です。（CVE-2020-28948）

  - 1.4.10までのArchive_Tarでは、phar攻撃に対処するためだけに://ファイル名がサニタイズされるため、他のストリームラッパー攻撃（ファイルを上書きするfile://など）が依然として成功します。（CVE-2020-28949）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Amazon Linux AMI：php7-pear （ALAS-2021-1466）

high Nessus プラグイン ID 145000

変更ログが見つかりません