Iliaal

FrankenPHP from 1.5.0 before 1.13.0 contains an incomplete environment sandbox vulnerability in which putenv writes to the process-wide OS environment via os.Setenv, leaking values across concurrent requests. Attackers reaching a request path that spawns child processes with the default environment through proc open or exec can read secrets such as database passwords set by other requests.

يوجد ثغرة في ZipArchiver و GPMInstaller تسمح بتجاوز الحد الأقصى لحجم ملفات ”قنبلة فك الضغط“. يقوم النظام بحساب الحجم غير المضغوط عن طريق جمع القيم المعلنة في رأس الدليل المركزي لملف ZIP لكل إدخال عبر `ZipArchive::statIndex()[’size‘]` ومقارنتها بقيمة `system.gpm.archive.max uncompressed size` قبل الاستخراج. ونظرًا لأن الحجم المُعلن عنه يمكن تزويره ولا يتم التحقق منه مقابل الدفق الفعلي بعد الضغط، فإن أرشيفًا مصممًا خصيصًا بأحجام صغيرة مُعلنة لكل إدخال يمكنه تجاوز هذا الحد. وعند استدعاء `extractTo()`، يتم كتابة المحتوى الفعلي الأكبر حجمًا، مما قد يؤدي إلى استنفاد مساحة القرص أو نفاد العناصر (inode). ويتطلب ذلك أن يكون الأرشيف مقدمًا من مصدر حزمة أو من خلال تحميل من قبل المسؤول.

يتيح تجاوز صندوق الحماية (sandbox) في Twig لمؤلف الصفحة، وتحديدًا أي مستخدم لديه أذونات `admin.pages` أو أولئك القادرين على الكتابة في `user/pages`، استخراج أسرار التكوين. في حين يحاول صندوق الحماية حجب متغير `config` وإزالة `Config::get` و`toArray` من قائمة الطرق المسموح بها، لا يزال من الممكن الوصول إلى كائن Config الفعلي من خلال الطريقة `grav.offsetGet(’config‘)` المدرجة في قائمة الطرق المسموح بها. باستخدام مرشحات تفريغ الكائنات المدرجة في قائمة الأسلوب المسموح بها، مثل `json encode` أو `print r` أو `yaml encode`، يمكن للمهاجم تسلسل الكائن على مستوى PHP، متجاوزًا بوابة أساليب بيئة الحماية. يؤدي ذلك إلى كشف شجرة التكوين الكاملة، بما في ذلك البيانات الحساسة مثل بيانات اعتماد SMTP ومفاتيح API وبيانات اعتماد قاعدة بيانات المكونات الإضافية.

يسمح عيب في مسار التثبيت الثنائي بإجراء تحليل لمدخل bin الخاص بالحزمة الذي يحتوي على أجزاء مسار `..` خارج دليل تثبيت الحزمة. قد يؤدي ذلك إلى قيام النظام بتغيير أذونات ملف مضيف موجود إلى أوضاع قابلة للقراءة والتنفيذ من قبل الجميع أثناء تنفيذ عمليات التثبيت أو التحديث أو الاستدعاء في Composer.

عند تشغيل البرنامج باستخدام خيار -vvv لتفصيل التصحيح، قد يقوم البرنامج بطباعة بيانات الاعتماد المضمنة في خانة اسم المستخدم في عنوان URL للمستودع أو الحزمة (على سبيل المثال، رمز الوصول الشخصي لـ GitHub في https://TOKEN@host/) في مخرجات التصحيح. يحدث هذا لأن الدوال `AuthHelper` و`Url::sanitize` و`ProcessExecutor` لا تقوم بتنقية بيانات الاعتماد في عناوين URL التي تحتوي على اسم المستخدم فقط.

يفشل Composer، وهو مدير التبعيات الخاص بلغة PHP، في التحقق بشكل صحيح من صحة أسماء الحزم الواردة من مستودعات غير موثوقة بخلاف Packagist.org أو Private Packagist. وهذا يسمح لحزمة مصممة بشكل خبيث بأن تجعل التطبيق يكتب ملفات يسيطر عليها المهاجم خارج دليل المورد وخارج المشروع أثناء عمليات التثبيت أو التحديث.

يقبل CookieJar بشكل خاطئ ملفات تعريف الارتباط التي تحتوي على سمة `Domain` المكونة من نقاط فقط (مثل `Domain=.`، `Domain=..`، `Domain=...`) والمتغيرات المكملة بمسافات بيضاء. تقوم الدالة `SetCookie::matchesDomain()` بإزالة النقاط البادئة، وتحويل القيم المكونة من نقطة واحدة فقط إلى سلسلة فارغة. ونظرًا لأن الدالة `SetCookie::validate()` كانت ترفض فقط المجالات الفارغة تمامًا، فقد تم تخزين ملفات تعريف الارتباط هذه، وتم التعامل مع المجال الفارغ المُعَدَّل على أنه مطابق لأي مضيف طلب. يمكن لمصدر يتحكم فيه المهاجم، ويطلبه تطبيق يستخدم مخزن ملفات تعريف الارتباط المشترك، أن يضع ملف تعريف ارتباط يتم إرساله لاحقًا إلى مضيفات غير ذات صلة. قد يؤدي ذلك إلى حقن ملفات تعريف الارتباط أو تثبيت الجلسة ضد الخدمات التابعة. تؤثر هذه المشكلة على التطبيقات التي تستخدم دعم ملفات تعريف الارتباط في Guzzle، مثل `new Client([’cookies‘ => true])` أو `CookieJar` مشترك صريح، عندما يتم إعادة استخدام نفس الـ«jar» عبر مصادر خاضعة لسيطرة المهاجمين ومصادر موثوقة.

يفشل `guzzlehttp/psr7` في رفض أحرف «Carriage Return» (CR) و«Line Feed» (LF) في حقول محددة في السطر الأول لطلب HTTP، بما في ذلك طريقة الطلب وإصدار البروتوكول وعبارة سبب الاستجابة. يحدث هذا عندما يتم وضع بيانات يسيطر عليها المهاجم في هذه الحقول، ثم يتم تسلسلها لاحقًا كـ HTTP/1.x خام باستخدام دوال مثل `Message::toString()` أو أدوات التسلسل المكافئة. يمكن أيضًا إثارة هذه المشكلة عبر `Message::parseRequest()` أو `Message::parseResponse()` عندما يتم تحليل الرسائل الخام المشوهة إلى كائنات PSR-7 ثم إعادة تسلسلها. ولكي يحدث الاستغلال، يجب تسلسل الرسالة ذات التنسيق الخاطئ ومعالجتها بواسطة برنامج لا يرفض بشكل مستقل أسطر البداية ذات التنسيق الخاطئ. وقد يؤدي ذلك إلى حقن الرؤوس، أو تقسيم الاستجابة، أو تهريب الطلبات، أو تسميم ذاكرة التخزين المؤقت. لا يُتوقع أن تتأثر التطبيقات التي تستخدم واجهات برمجة تطبيقات عميل Guzzle HTTP القياسية؛ أما المخاطر فهي أعلى بالنسبة لتلك التي تقوم بتسلسل الرسائل يدويًّا، أو إعادة توجيه HTTP الخام، أو تنفيذ وسائل نقل مخصصة، أو الوكالة، أو webhooks.