PT-2020-6225
CVE-2020-28948
·
Publicado
2020-11-17
·
Atualizado
2026-10-01
Descrição por
CVSS 3.1
7.8
AltaMétricasAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Archive Tar versões 1.4.10 e anteriores
Descrição
A vulnerabilidade permite um ataque de deserialização, pois
phar: é bloqueado, mas PHAR: não é bloqueado. Isso pode ser explorado por um invasor remoto para executar código PHP arbitrário usando um arquivo .tar especialmente criado. A vulnerabilidade está relacionada à restauração de uma estrutura de dados não confiável na memória.Recomendações
Para as versões 1.4.10 e anteriores do Archive Tar, considere desativar o uso de
PHAR: até que um patch esteja disponível. Como solução temporária, restrinja o uso da classe Archive Tar para minimizar o risco de exploração. Evite usar arquivos .tar especialmente criados que possam desencadear o ataque de deserialização.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾