Drupal: SA-CORE-2019-007

Описание
- Описание проблемы от TYPO3
Решение
Принимали участие
Ссылки

Проект: Drupal core
Дата публикации: 8 мая 2019
Риск безопасности: Умеренно критический. 14/25 AC:Complex, A:Admin, CI:All, II:All, E:Theoretical, TD:Uncommon
Уязвимость: Сторонние библиотеки

¶Описание

Данный релиз безопасности исправляет сторонние зависимости, которые поставляются с Drupal или являются зависимостью ядра Drupal.

¶Описание проблемы от TYPO3

Для того чтобы перехватить выполнение файлов такими функциями, как file_exists() или stat(), на скомпрометированные Phar архивы, базовое имя должно быть определено и проверено, прежде чем разрешать передачу файла на выполнение в PHP Phar stream.

В примере ниже базовое имя /path/bad.phar, а /phar-content.txt - файл, поставляемый с данным Phar архивом.

$userSubmittedPath = 'phar:///path/bad.phar/phar-content.txt';
file_exists($userSubmittedPath);

Текущая реализация уязвима к атаке path traversal (когда можно получить доступ к файлам уровнем ниже чем корневой ../), что приводит к сценариям, когда проверяемый Phar архив, не является тем, что запросили на самом деле.

// Helper::determineBaseFile(
//    'phar:///path/bad.phar/../good.phar'
// )
// некорректно определит базовое имя как '/path/good.phar'
// ... что можно использовать для разрешения вызова.
if ($interceptor->assert('/path/good.phar')) {
    $wrapper->invokeInternalStreamWrapper(
      'stat',
      'phar:///path/bad.phar/../good.phar'
    );
}