リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2022:3020-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Composer は、PHP プログラミング言語の依存関係マネージャーです。Composer コードを使用して「VcsDriver: : getFileContent」を呼び出すインテグレーターには、ユーザーが「$file」または「$identifier」引数をコントロールできる場合、コードインジェクションの脆弱性が存在する可能性があります。これにより、packagist.org での脆弱性につながります。たとえば、composer.json の 「readme」フィールドは、任意のデータを許可した場合、「$file」引数経由で hg/Mercurial に、あるいは「$identifier」引数経由で git にパラメーターを注入するベクトルとして使われる可能性があります (Packagist ではありませんが、他のインテグレーターはあり得ます)。Composer 自体は、「$file」/「$identifier」に任意のデータを入れて「getFileContent」を呼び出すことはないため、脆弱性の影響を受けません。知る限りではこれは悪用されておらず、脆弱性の報告から 1 日以内に packagist.org と Private Packagist でパッチが適用されています。(CVE-2022-24828)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存しています。

検出

SUSE SLES15 / openSUSE 15 セキュリティ更新: php-composer2 (SUSE-SU-2022:3020-1)

high Nessus プラグイン ID 164692

バージョン 1.5