Amazon Linux 2023 : composer (ALAS2023-2024-650)

high Nessus プラグイン ID 202169

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2024-650 のアドバイザリに記載されている脆弱性の影響を受けます。

Composer は、PHP の依存関係マネージャーです。バージョン 2.2.24 および 2.7.7 以前の2.xブランチでは、git からソース経由でインストールされたパッケージに対して特別に細工されたブランチ名を含むリポジトリを使用すると、「status」「reinstall」、および「remove」コマンドでコードを実行することができます。この問題に対するパッチは、2.2 LTS 用、またはメインライン用の 2.7.7 のバージョン 2.2.24 で利用可能です。回避策として、「--prefer-dist」または「preferred-install: dist」設定構成を使用することで、git 経由で依存関係をインストールしないようにします。
(CVE-2024-35241)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。