多个内容治理系统肆意代码执行缝隙安全公告

颁布功夫 2019-05-10

缝隙编号和级别


CVE编号：CVE-2019-11831，危险级别：严沉，CVSS分值：9.8


影响版本

Drupal：Drupal 8.7，Drupal 8.6及之前版本，Drupal 7
Joomla：Joomla 3.9.3 到 3.9.5

TYPO3：2.0.0-2.1.0 和 3.0.0-3.1.0


缝隙概述


多个内容治理系统蕴含Drupal，Joomla和Typo3存在肆意代码执行缝隙。该缝隙存在于PHP驱动项目中使用的phar流包装器组件中。Phar存档用于在单个文件中分发齐全的PHP利用法式或库。


phar流包装器是Typo3提供的一个开源组件，它允许用户查抄该文件是否是从特定目录加载的拥有正确文件扩大名的有效Phar文件，攻击者能够绕过为phar流包装器提供的�；�，并最终提议肆意代码执行攻击。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布升级补丁以建复缝隙：


Drupal：Drupal 8.7升级到8.7.1， Drupal 8.6及之前版本升级到8.6.16， Drupal 7升级到7.67
Joomla：升级到Joomla 3.9.6

TYPO3：升级到2.1.1 (for PHP v5.3 and later)和3.1.1 (for PHP v7.0 and later)


参考链接


https://www.drupal.org/sa-core-2019-007
https://developer.joomla.org/security-centre.html
https://typo3.org/security/advisory/typo3-psa-2019-007/