PT-2021-23100 · Composer+1 · Composer+1

Paul Gerste · CVE-2021-41116 · Publicado 2021-10-05 · Atualizado 2024-06-15

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Composer anteriores à 1.10.23

Versões do Composer anteriores à 2.1.9

Descrição

A vulnerabilidade afeta usuários do Windows que utilizam o Composer para instalar dependências não confiáveis, expondo-os a injeção de comando. Outros sistemas operacionais e o Subsistema do Windows para Linux (WSL) não são afetados.

Recomendações

Para versões anteriores à 1.10.23, atualize para a versão 1.10.23 ou posterior.

Para versões anteriores à 2.1.9, atualize para a versão 2.1.9 ou posterior.

Como solução temporária, considere evitar a instalação de dependências não confiáveis até que um patch seja aplicado.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

ALT-PU-2022-1766

ALT-PU-2022-1775

BIT-COMPOSER-2021-41116

CVE-2021-41116

GHSA-FRQG-7G38-6GCF

OPENSUSE-SU-2022:0132-1

OPENSUSE-SU-2024:11617-1

OPENSUSE-SU-2024:11874-1

Produtos afetados

Alt Linux

Composer

Referências · 21

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/composer/composer/CVE-2021-41116.yaml · Exploit
• https://github.com/composer/composer · Nota
• https://github.com/composer/composer/commit/ca5e2f8d505fd3bfac6f7c85b82f2740becbc0aa · Correção
• https://github.com/composer/composer/security/advisories/GHSA-frqg-7g38-6gcf · Nota
• https://t.me/cibsecurity/30000 · Publicação no Telegram
• https://osv.dev/vulnerability/openSUSE-SU-2024:11617-1 · Aviso do Fabricante
• https://sonarsource.com/blog/securing-developer-tools-package-managers · Nota
• https://osv.dev/vulnerability/BIT-composer-2021-41116 · Aviso do Fabricante
• https://lists.opensuse.org/archives/list/[e-mail]/thread/GK3MSPNLXNEQ4P7QF5ZJB6IK4W6YAUKM · Nota
• https://ubuntu.com/security/CVE-2021-41116 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41116 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41116 · Aviso do Fabricante
• https://tenable.com/security/tns-2022-09 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-41116 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2022:0132-1 · Aviso do Fabricante