自己報告されたバージョン番号によると、リモートのWebサーバーで実行されているDrupalのインスタンスのバージョンは、7.62より前の7.x、8.5.9より前の8.5.x、または8.6.6より前の8.6.xです。したがって、複数のphar処理の脆弱性の影響を受けます。認証されていない攻撃者がこれらの脆弱性を悪用し、リモートでコード実行攻撃を実行し、Webサーバーユーザーのコンテキストでアクセス権を取得する可能性があります。

バージョン1.4.3以前のPEAR Archive_Tarでは、Archive_TarクラスにCWE-502、CWE-915の脆弱性があります。「$v_header['filename']」をパラメーターとして使用するファイル操作がいくつかあります（file_exists、is_file、is_dirなど）。extractが特定のプレフィックスパスなしで呼び出されたとき、「phar://[path_to_malicious_phar_file]」をパスとするtarファイルを作ることで、アンシリアライズをトリガーすることができます。オブジェクトインジェクションを使用すると、読み込まれたPHPクラス（Archive_Tarクラス自体など）で破壊をトリガーすることができます。Archive_Tarオブジェクトインジェクションでは、「@unlink($this->_temp_tarname)」が呼び出されるため、任意のファイルが削除される可能性があります。便利なガジェットを持つ別のクラスが読み込まれると、ファイルの削除や変更ができるリモートコードが実行される可能性があります。この脆弱性は1.4.4では修正されていると見られます。（CVE-2018-1000888）

インストールされているphp-pearパッケージのバージョンによると、リモートホストにインストールされているEulerOSは次の脆弱性の影響を受けます。- PEAR Archive_Tarバージョン1.4.3以前では、CWE-502、CWE-915の脆弱性がArchive_Tarクラスにあります。「$v_header['filename']」をパラメーターとして使用するファイル操作がいくつかあります（file_exists、is_file、is_dirなど）。extractが特定のプレフィックスパスなしで呼び出されたとき、「phar://[path_to_malicious_phar_file]」をパスとするtarファイルを作ることで、アンシリアライズをトリガーすることができます。オブジェクトインジェクションを使用すると、読み込まれたPHPクラス（Archive_Tarクラス自体など）で破壊をトリガーすることができます。Archive_Tarオブジェクトインジェクションでは、「@unlink($this->_temp_tarname)」が呼び出されるため、任意のファイルが削除される可能性があります。便利なガジェットを持つ別のクラスが読み込まれると、リモートでコードが実行され、ファイルを削除されたり変更されたりする可能性があります。（CVE-2018-1000888）注意：Tenable Network Security は、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

php5のphp-pearには、Archive_TarクラスのCWE-502（信頼できないデータの逆シリアル化）およびCWE-915（動的に決定されたオブジェクト属性の不適切に制御された変更）の脆弱性が含まれています。extractが特定のプレフィックスパスなしで呼び出されたとき、「phar://[path_to_malicious_phar_file]」をパスとするtarファイルを作ることで、逆シリアル化を引き起こすことがあります。オブジェクトインジェクションを使用して、読み込まれたPHPクラスで破壊を引き起こすことができます。これは、リモートコードの実行によってファイルの削除や変更に至る可能性があります。

Debian 8「Jessie」では、この問題はバージョン5.6.39+dfsg-0+deb8u2で修正されました。

お使いのphp5パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - PEAR Archive_Tarバージョン 1.4.3 以前では、Archive_TarクラスにCWE-502、CWE-915の脆弱性が含まれています。パラメーターとして`$v_header['filename']` を使用するファイル操作がいくつかあります (file_exists、is_file、is_dir など)。extractが特定のプレフィックスパスなしで呼び出されたとき、「phar://[path_to_malicious_phar_file]」をパスとするtarファイルを作ることで、アンシリアライズをトリガーすることができます。オブジェクトインジェクションを使用すると、読み込まれたPHPクラス（Archive_Tarクラス自体など）で破壊をトリガーすることができます。
    Archive_Tar オブジェクトインジェクションにより、「@unlink($this->_temp_tarname)」が呼び出されることにより、任意のファイルが削除される可能性があります。便利なガジェットを持つ別のクラスが読み込まれると、リモートでコードが実行され、ファイルを削除されたり変更されたりする可能性があります。この脆弱性は 1.4.4 では修正されていると見られます。(CVE-2018-1000888)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Fariskhi Vidyan氏は、PEAR Archive_Tarが特定のアーカイブパスを不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Fariskhi Vidyan氏は、PHPでtarファイルを処理するためのPEAR Archive_Tarパッケージが、PHPオブジェクトインジェクションの脆弱性の影響を受けやすいことを発見しました。これにより、リモート攻撃者が、任意のコードを実行することができます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
121214	Drupal 7.x < 7.62/8.5.x < 8.5.9/8.6.x < 8.6.6の複数の脆弱性（SA-CORE-2019-001、SA-CORE-2019-002）	Nessus	CGI abuses	2019/1/16	2022/4/11	critical
122160	Amazon Linux 2：php-pear（ALAS-2019-1159）	Nessus	Amazon Linux Local Security Checks	2019/2/14	2024/6/20	high
123595	EulerOS 2.0 SP2：php-pear（EulerOS-SA-2019-1121）	Nessus	Huawei Local Security Checks	2019/4/2	2024/6/6	high
122101	DebianDLA-1674-1: php5のセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/2/12	2024/6/20	high
221664	Linux Distros のパッチ未適用の脆弱性: CVE-2018-1000888	Nessus	Misc.	2025/3/4	2025/3/4	high
121187	Ubuntu 16.04 LTS / 18.04 LTS : PEARの脆弱性 (USN-3857-1)	Nessus	Ubuntu Local Security Checks	2019/1/15	2024/8/27	high
121486	DebianDSA-4378-1：php-pear - セキュリティ更新	Nessus	Debian Local Security Checks	2019/1/31	2024/6/25	high
123621	EulerOS 2.0 SP5：php-pear（EulerOS-SA-2019-1147）	Nessus	Huawei Local Security Checks	2019/4/2	2024/6/6	high

検出

プラグインの検索

critical

high

high

high

high

high

high

high