It was discovered that composer, a dependency manager for PHP, did not properly sanitize Mercurial URLs, which could lead to arbitrary code execution.

For Debian 9 stretch, this problem has been fixed in version 1.2.2-1+deb9u1.

We recommend that you upgrade your composer packages.

For the detailed security status of composer please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/composer

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote SUSE Linux SUSE15 host has a package installed that is affected by a vulnerability as referenced in the openSUSE-SU-2021:1289-1 advisory.

  - Composer is a dependency manager for PHP. URLs for Mercurial repositories in the root composer.json and     package source download URLs are not sanitized correctly. Specifically crafted URL values allow code to be     executed in the HgDriver if hg/Mercurial is installed on the system. The impact to Composer users directly     is limited as the composer.json file is typically under their own control and source download URLs can     only be supplied by third party Composer repositories they explicitly trust to download and execute source     code from, e.g. Composer plugins. The main impact is to services passing user input to Composer, including     Packagist.org and Private Packagist. This allowed users to trigger remote code execution. The     vulnerability has been patched on Packagist.org and Private Packagist within 12h of receiving the initial     vulnerability report and based on a review of logs, to the best of our knowledge, was not abused by     anyone. Other services/tools using VcsRepository/VcsDriver or derivatives may also be vulnerable and     should upgrade their composer/composer dependency immediately. Versions 1.10.22 and 2.0.13 include patches     for this issue. (CVE-2021-29472)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1289-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Composer は、PHP の依存関係マネージャーです。root composer.json の Mercurial リポジトリの URL およびパッケージソースのダウンロード URL が正しくサニタイズされません。hg/Mercurial がシステムにインストールされている場合、特別に細工された URL 値により、HgDriver でコードが実行される可能性があります。composer.json ファイルは通常、独自のコントロール下にあり、ソースダウンロード URL は、Composer プラグインなどからソースコードをダウンロードして実行することが明示的に信頼されているサードパーティの Composer リポジトリによってのみ提供できるため、Composer ユーザーへの影響は限定的です。主な影響は、Packagist.org や Private Packagist などのユーザー入力を Composer に渡すサービスにあります。これにより、ユーザーがリモートコードの実行を引き起こす可能性があります。この脆弱性は、最初の脆弱性レポートの受信後 12 時間以内に Packagist.org および Private Packagist でパッチが適用されており、ログのレビューからわかる範囲で、誰からも侵害されませんでした。VcsRepository / VcsDriver または派生物を使用する他のサービス / ツールも脆弱で、composer / composer の依存関係をすぐにアップグレードする必要があります。バージョン 1.10.22 および 2.0.13 には、この問題のパッチが含まれています。(CVE-2021-29472)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

PHP の依存関係マネージャーである composer が Mercurial URL を適切にサニタイズしないため、任意のコードが実行される可能性があることがわかりました。

Debian 9 'Stretch' では、この問題はバージョン 1.2.2-1+deb9u1 で修正されています。

お使いの composer パッケージをアップグレードすることを推奨します。

composer の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください :
https://security-tracker.debian.org/tracker/composer

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。すでに Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

It was discovered that composer, a dependency manager for PHP, did not properly sanitize Mercurial URLs, which could lead to arbitrary code execution.

The remote Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM host has a package installed that is affected by a vulnerability as referenced in the USN-5220-1 advisory.

  - Composer is a dependency manager for PHP. URLs for Mercurial repositories in the root composer.json and     package source download URLs are not sanitized correctly. Specifically crafted URL values allow code to be     executed in the HgDriver if hg/Mercurial is installed on the system. The impact to Composer users directly     is limited as the composer.json file is typically under their own control and source download URLs can     only be supplied by third party Composer repositories they explicitly trust to download and execute source     code from, e.g. Composer plugins. The main impact is to services passing user input to Composer, including     Packagist.org and Private Packagist. This allowed users to trigger remote code execution. The     vulnerability has been patched on Packagist.org and Private Packagist within 12h of receiving the initial     vulnerability report and based on a review of logs, to the best of our knowledge, was not abused by     anyone. Other services/tools using VcsRepository/VcsDriver or derivatives may also be vulnerable and     should upgrade their composer/composer dependency immediately. Versions 1.10.22 and 2.0.13 include patches     for this issue. (CVE-2021-29472)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

据发现，PHP 的依存关系管理器 composer 未正确审查 Mercurial URL，这会导致任意代码执行。

对于 Debian 9 Stretch，已在版本 1.2.2-1+deb9u1 中修复此问题。

我们建议您升级 composer 程序包。

如需了解 composer 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/composer

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。

據發現，PHP 的相依性管理員 Composer 未正確清理 Mercurial URL，這可導致任意程式碼執行。

針對 Debian 9 Stretch，已在 1.2.2-1+deb9u1 版本中修正此問題。

建議您升級 composer 套件。

如需有關 composer 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/composer

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

PHP の依存関係マネージャーである composer が Mercurial URL を適切にサニタイズしないため、任意のコードが実行される可能性があることがわかりました。

リモートの Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ホストには、USN-5220-1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Composer は、PHP の依存関係マネージャーです。root composer.json の Mercurial リポジトリの URL およびパッケージソースのダウンロード URL が正しくサニタイズされません。hg/Mercurial がシステムにインストールされている場合、特別に細工された URL 値により、HgDriver でコードが実行される可能性があります。composer.json ファイルは通常、独自のコントロール下にあり、ソースダウンロード URL は、Composer プラグインなどからソースコードをダウンロードして実行することが明示的に信頼されているサードパーティの Composer リポジトリによってのみ提供できるため、Composer ユーザーへの影響は限定的です。主な影響は、Packagist.org や Private Packagist などのユーザー入力を Composer に渡すサービスにあります。これにより、ユーザーがリモートコードの実行を引き起こす可能性があります。この脆弱性は、最初の脆弱性レポートの受信後 12 時間以内に Packagist.org および Private Packagist でパッチが適用されており、ログのレビューからわかる範囲で、誰からも侵害されませんでした。VcsRepository / VcsDriver または派生物を使用する他のサービス / ツールも脆弱で、composer / composer の依存関係をすぐにアップグレードする必要があります。バージョン 1.10.22 および 2.0.13 には、この問題のパッチが含まれています。(CVE-2021-29472)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

据发现，PHP 的依存关系管理器 composer 未正确审查 Mercurial URL，这会导致任意代码执行。

远程 Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM 主机上安装的程序包受到 USN-5220-1 公告中提及的一个漏洞影响。

  - Composer 是 PHP 的依存关系管理器。根 composer.json 中的 Mercurial 存储库的 URL 和程序包源下载 URL 未经正确审查。如果系统上安装了 hg/Mercurial，则专门设计的 URL 值允许在 HgDriver 中执行代码。此问题对 Composer 用户的直接影响十分有限，这是因为 composer.json 文件通常由这类用户自己控制，并且源下载 URL 只能由他们明确信任的第三方 Composer 存储库（例如 Composer 插件）下载和执行源代码提供。其主要影响是将用户输入传递给 Composer 的服务，包括 Packagist.org 和 Private Packagist。这让用户可以触发远程代码执行。此漏洞已在收到初始漏洞报告后 12 小时内并根据日志审查在 Packagist.org 和 Private Packagist 上进行了修补，据我们所知，此漏洞未被任何人滥用。使用 VcsRepository/VcsDriver 或衍生产品的其他服务/工具也可能容易受到攻击，并且应立即升级其 Composer/Composer 依赖关系。1.10.22 和 2.0.13 版本包含针对此问题的补丁。(CVE-2021-29472)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

據發現，PHP 的相依性管理員 Composer 未正確清理 Mercurial URL，這可導致任意程式碼執行。

遠端 Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM 主機上安裝的套件受到 USN-5220-1 公告中提及的一個弱點影響。

  - Composer 是 PHP 的相依性管理員。root composer.json 中 Mercurial 存放庫的 URL，以及套件來源下載 URL 未得到正確清理。如果系統上已安裝 hg/Mercurial，特製的 URL 值會允許攻擊者在 HgDriver 中執行程式碼。該問題對 Composer 使用者的直接影響有限，因為 composer.json 檔案通常由使用者自行控制，且來源下載 URL 只能由其明確信任的第三方 Composer 存放庫提供，以便下載並執行來源程式碼，例如：Composer plugin。該問題主要影響將使用者輸入傳遞至 Composer 的服務，包括 Packagist.org 和 Private Packagist。這可讓使用者觸發遠端程式碼執行。此弱點已在收到初始弱點報告後的 12 小時內，於 Packagist.org 和 Private Packagist 上修補，且根據記錄檢閱，據我們所知，未遭到任何人濫用。使用 VcsRepository/VcsDriver 或其衍生品的其他服務/工具也可能受到影響，應立即升級其撰寫器/撰寫器相依性。1.10.22 和 2.0.13 版包含此問題的修補程式。(CVE-2021-29472)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
149426	Debian DLA-2654-1 : composer security update	Nessus	Debian Local Security Checks	2021/5/12	2024/1/12	high
153530	openSUSE 15 Security Update : php-composer (openSUSE-SU-2021:1289-1)	Nessus	SuSE Local Security Checks	2021/9/22	2023/11/30	high
153530	openSUSE 15 セキュリティ更新: php-composer (openSUSE-SU-2021:1289-1)	Nessus	SuSE Local Security Checks	2021/9/22	2023/11/30	high
149426	Debian DLA-2654-1 : composer セキュリティ更新	Nessus	Debian Local Security Checks	2021/5/12	2024/1/12	high
149219	Debian DSA-4907-1 : composer - security update	Nessus	Debian Local Security Checks	2021/5/3	2024/1/12	high
183145	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM : Composer vulnerability (USN-5220-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	high
149426	Debian DLA-2654-1：composer 安全更新	Nessus	Debian Local Security Checks	2021/5/12	2024/1/12	high
149426	Debian DLA-2654-1：編寫器安全性更新	Nessus	Debian Local Security Checks	2021/5/12	2024/1/12	high
149219	Debian DSA-4907-1 : composer - セキュリティ更新	Nessus	Debian Local Security Checks	2021/5/3	2024/1/12	high
183145	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM : Composer の脆弱性 (USN-5220-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	high
149219	Debian DSA-4907-1：composer - 安全更新	Nessus	Debian Local Security Checks	2021/5/3	2024/1/12	high
183145	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM：Composer 漏洞 (USN-5220-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	high
149219	Debian DSA-4907-1：composer - 安全性更新	Nessus	Debian Local Security Checks	2021/5/3	2024/1/12	high
183145	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM：Composer 弱點 (USN-5220-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high