CVE-2020-28949
PEAR Archive_Tar अविश्वसनीय डेटा का डीसीरियलाइज़ेशन भेद्यता
- प्रकाशित
- 19 नव॰ 2020
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 25 अग॰ 2022
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.7%
- मॉडल दिनांक
- 16 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Archive_Tar 1.4.10 तक के संस्करण में :// फ़ाइलनाम सैनिटाइज़ेशन केवल phar हमलों को संबोधित करने के लिए है, और इस प्रकार कोई भी अन्य स्ट्रीम-रैपर हमला (जैसे फ़ाइलों को अधिलेखित करने के लिए file://) अभी भी सफल हो सकता है।
स्रोत
modules/exploits/multi/fileformat/archive_tar_arb_file_write.rb
Metasploit Framework modulesघोषित शर्तें
- platform: PHP($.exploit_multi/fileformat/archive_tar_arb_file_write.platform)
- verification: check_not_declared($.exploit_multi/fileformat/archive_tar_arb_file_write.check)
CVE-2020-28948 और CVE-2020-28949 के लिए प्रूफ-ऑफ-कॉन्सेप्ट प्रदर्शन, PHP Archive_Tar पाथ ट्रैवर्सल और मनमाना फ़ाइल लेखन भेद्यताएं।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।