openSUSE 15 セキュリティ更新: php-composer (openSUSE-SU-2021:1289-1)

high Nessus プラグイン ID 153530

Language:

概要

リモートの SUSE ホストにセキュリティ更新がありません。

説明

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1289-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- Composer は、PHP の依存関係マネージャーです。root composer.json の Mercurial リポジトリの URL およびパッケージソースのダウンロード URL が正しくサニタイズされません。hg/Mercurial がシステムにインストールされている場合、特別に細工された URL 値により、HgDriver でコードが実行される可能性があります。composer.json ファイルは通常、独自のコントロール下にあり、ソースダウンロード URL は、Composer プラグインなどからソースコードをダウンロードして実行することが明示的に信頼されているサードパーティの Composer リポジトリによってのみ提供できるため、Composer ユーザーへの影響は限定的です。主な影響は、Packagist.org や Private Packagist などのユーザー入力を Composer に渡すサービスにあります。これにより、ユーザーがリモートコードの実行を引き起こす可能性があります。この脆弱性は、最初の脆弱性レポートの受信後 12 時間以内に Packagist.org および Private Packagist でパッチが適用されており、ログのレビューからわかる範囲で、誰からも侵害されませんでした。VcsRepository / VcsDriver または派生物を使用する他のサービス / ツールも脆弱で、composer / composer の依存関係をすぐにアップグレードする必要があります。バージョン 1.10.22 および 2.0.13 には、この問題のパッチが含まれています。(CVE-2021-29472)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。