多个内容管理系统恣意代码执行误差清静通告

宣布时间 2019-05-10

误差编号和级别


CVE编号：CVE-2019-11831，危险级别：严重，CVSS分值：9.8


影响版本

Drupal：Drupal 8.7，Drupal 8.6及之前版本，Drupal 7
Joomla：Joomla 3.9.3 到 3.9.5

TYPO3：2.0.0-2.1.0 和 3.0.0-3.1.0


误差概述


多个内容管理系统包括Drupal，Joomla和Typo3保存恣意代码执行误差。该误差保存于PHP驱动项目中使用的phar流包装器组件中。Phar存档用于在单个文件中分发完整的PHP应用程序或库。


phar流包装器是Typo3提供的一个开源组件，它允许用户检查该文件是否是从特定目录加载的具有准确文件扩展名的有用Phar文件，攻击者可以绕过为phar流包装器提供的� ；�，并最终提倡恣意代码执行攻击。


误差验证


暂无POC/EXP。


修复建议


现在厂商已宣布升级补丁以修复误差：


Drupal：Drupal 8.7升级到8.7.1， Drupal 8.6及之前版本升级到8.6.16， Drupal 7升级到7.67
Joomla：升级到Joomla 3.9.6

TYPO3：升级到2.1.1 (for PHP v5.3 and later)和3.1.1 (for PHP v7.0 and later)


参考链接


https://www.drupal.org/sa-core-2019-007
https://developer.joomla.org/security-centre.html
https://typo3.org/security/advisory/typo3-psa-2019-007/