Vulnérabilité dans la librairie Archive_Tar de Drupal

Date de publication :

CVE-2020-36193[Score CVSS v3 : 7.5] : Une vulnérabilité au sein du fichier Tar.php dans Archive_Tar a été corrigée. Cette faille est due à une vérification insuffisante des liens symboliques passés dans les fichiers en argument d’entrée. Son exploitation peut permettre à un attaquant distant et authentifié d’effectuer des opérations d'écriture non spécifiées via une attaque de type traversement de répertoires.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Injection de code arbitraire
  • Atteinte à l’intégrité des données
  • Violation des politiques de sécurité

Criticité

  • Score CVSS v3 : 7.5

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible à l’heure actuelle.

Composants vulnérables

Les applications suivantes utilisent une version vulnérable de Archive_Tar (<=v1.4.11), cette liste n’est pas exhaustive.

  • Drupal 9.1
  • Drupal 9.0
  • Drupal 8.9
  • Drupal 7

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

Mettre à jour Drupal vers une des versions suivantes :

Solution de contournement

  • Aucune solution de contournement n’est disponible à l’heure actuelle.

Liens