Debian DLA-3147-1: twig - LTS セキュリティ更新

high Nessus プラグイン ID 166040

Language:

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 10 ホストには、dla-3147 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- Twig は、PHP 用のテンプレート言語です。1.44.7 より前の 1.x、2.15.3 より前の 2.x、3.4.3 より前の 3.xのバージョンでは、ユーザー入力によって名前が付けられたテンプレートをファイルシステムローダーが読み込む際に問題が発生します。「@somewhere/../some.file」のような名前空間を使用している場合、「source」ステートメントまたは「include」ステートメントを使用して、テンプレートディレクトリ外から任意のファイルを読み取ることが可能です。このような場合、検証はバイパスされます。
バージョン 1.44.7、2.15.3、および 3.4.3には、このようなテンプレート名の検証に対する修正が含まれています。アップグレード以外に既知の回避策はありません。(CVE-2022-39261)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。