Debian DLA-2621-1 : php-pear セキュリティ更新

high Nessus プラグイン ID 148416

Language:

概要

リモートのDebianホストにセキュリティ更新プログラムがありません。

説明

php-pear に脆弱性が発見されました。php-pear は、PHP 拡張およびアプリケーションリポジトリのコアパッケージを提供します。Archive_Tar の Tar.php により、シンボリックリンクのチェックが不適切なためディレクトリトラバーサルで書き込み操作が可能になります。これは CVE-2020-28948 に関連する問題です。攻撃者が、細工された .tar アーカイブを通じて抽出ディレクトリ外のファイルを上書きして、権限を昇格させる可能性があります。

Debian 9 stretch では、この問題はバージョン 1:1.10.1+submodules+notgz-9+deb9u3 で修正されています。

お使いの php-pear パッケージをアップグレードすることを推奨します。

php-pearの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/php-pear

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。