Amazon Linux 2023：composer (ALAS2023-2024-539)

high Nessus Plugin ID 191593

語系：

概要

遠端 Amazon Linux 2023 主機缺少一個安全性更新。

說明

因此，它受到 ALAS2023-2024-539 公告中提及的一個弱點影響。

- Composer 是 PHP 語言的相依性管理員。在受影響的版本中，叫用 Composer 期間和執行使用者的內容中包含數個本機工作目錄內的檔案。
因此，在某些情況下，任意程式碼執行可能會導致在擁有遭竄改檔案的目錄中叫用 Composer 時，導致本機權限提升、提供橫向使用者移動或惡意程式碼執行。所有 Composer CLI 命令都會受到影響，包括 composer.phar 的自我更新。下列情況具有高風險：使用 sudo 執行 Composer；管線可能在未受信任的專案上執行 Composer；與在相同專案上個別執行 Composer 的開發人員共用環境。此弱點已在 2.7.0 和 2.2.23 版本中解決。建議儘早套用修補版本。在可能的情況下，應解決下列問題：移除所有使用者的所有 sudo composer 權限，以減輕 root 權限提升，並避免在不受信任的目錄中執行 Composer，或在必要時驗證「vendor/composer/InstalledVersions.php」和「vendor/composer/installed.php」不包含未受信任的程式碼。
也可透過下列方式在這些檔案上執行重設：```sh rm vendor/composer/installed.php vendor/composer/InstalledVersions.php composer install --no-scripts --no-plugins ``` (CVE-2024-24821)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。