リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、24a9bd2b-bb43-11ec-af81-0897988a1c07 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Composer は、PHP プログラミング言語の依存関係マネージャーです。Composer コードを使用して「VcsDriver: : getFileContent」を呼び出すインテグレーターには、ユーザーが「$file」または「$identifier」引数をコントロールできる場合、コードインジェクションの脆弱性が存在する可能性があります。これにより、packagist.org での脆弱性につながります。たとえば、composer.json の 「readme」フィールドは、任意のデータを許可した場合、「$file」引数経由で hg/Mercurial に、あるいは「$identifier」引数経由で git にパラメーターを注入するベクトルとして使われる可能性があります (Packagist ではありませんが、他のインテグレーターはあり得ます)。Composer 自体は、「$file」/「$identifier」に任意のデータを入れて「getFileContent」を呼び出すことはないため、脆弱性の影響を受けません。知る限りではこれは悪用されておらず、脆弱性の報告から 1 日以内に packagist.org と Private Packagist でパッチが適用されています。(CVE-2022-24828)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

検出

FreeBSD：Composer -- コマンドインジェクションの脆弱性 (24a9bd2b-bb43-11ec-af81-0897988a1c07)

high Nessus プラグイン ID 159723

変更ログが見つかりません