CVE-2021-32708

概要

Flysystem は、PHP用のオープンソースファイルストレージライブラリです。1.x および 2.x で使用されている空白文字の正規化は、Unicode の空白文字をすべて削除します。特定の条件下では、悪意のあるユーザーがリモートでコードを実行できる可能性があります。その条件は次のとおりです: ユーザーがアップロードするファイルのパスまたはファイル名を指定できること、指定されたパスまたはファイル名が Unicode 文字に対してチェックされていないこと、指定されたパス名が許可リストではなく拒否リストの拡張子に対してチェックされていること、指定されたパスまたはファイル名の拡張子に Unicode の空白文字が含まれていること、アップロードされたファイルが PHP コードの実行を許可するディレクトリに保存されること。これらの条件が満たされると、ユーザーは攻撃対象のシステム上で任意のコードをアップロードおよび実行できます。Unicode 空白文字の削除は、拒否（例外）に置き換えられました。1.x ユーザーは 1.1.4 にアップグレードしてください。2.x ユーザーは 2.1.1 にアップグレードしてください。

• CVE-2021-32708エクスプロイト

  このパッケージの影響を受けるバージョンは、レースコンディションに対して脆弱です。1.x および 2.x で使用される空白文字の正規化は、すべての Unicode 空白文字を削除します。特定の条件下では、悪意のあるユーザーがリモートでコードを実行できる可能性があります。