PEAR Archive_Tar のパストラバーサルの脆弱性（CVE-2020-36193）

何が起きた

PHP の部品（ライブラリ）である PEAR Archive_Tar の Tar.php に、tar 形式のまとめファイルを展開するときのシンボリックリンクの確認が不十分な弱点が見つかりました。このため、ディレクトリトラバーサルによって、本来書き込めない場所にファイルを書き込まれるおそれがあります。NVD の評価では、離れた場所から、ログインや利用者の操作なしに悪用できるとされています。CISA の KEV に、悪用が確認された脆弱性として載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Archive_Tar 1.4.11 以前を使っている PHP のアプリやサービスが対象です。Archive_Tar は Drupal などの製品の中でも使われていて、Drupal の公式情報では、tar などのファイルのアップロードを受け付けて処理する設定の場合に悪用されるおそれがあるとしています。

何をすればいい

Archive_Tar を直接使っている場合は、修正版の Archive_Tar 1.4.12 以降に更新してください。Drupal を使っている場合は、Drupal 9.1.3、Drupal 9.0.11、Drupal 8.9.13、Drupal 7.78 以降に更新してください。すぐに更新できないときは、Drupal の案内のとおり .tar、.tar.gz、.bz2、.tlz ファイルのアップロードを無効にします。あわせて、使っている製品の公式の案内を確認してください。

やることチェックリスト

• Archive_Tar を 1.4.12 以降に更新する
• Drupal 9.1 は 9.1.3 以降に更新する
• tar などのファイルのアップロードを無効にする

用語メモ

シンボリックリンク

別の場所にあるファイルやフォルダを指し示す、ショートカットのようなファイルです。

ディレクトリトラバーサル

ファイルの場所の指定を細工して、本来は触れられないフォルダのファイルを読み書きする攻撃です。

ライブラリ

ほかのプログラムから呼び出して使う、共通の部品となるプログラムです。