PT-2021-23100 · Composer+1 · Composer+1

Paul Gerste · Publicado 2021-10-05 · Atualizado 2024-06-15 · CVE-2021-41116

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Composer anteriores à 1.10.23

Versões do Composer anteriores à 2.1.9

Descrição

A vulnerabilidade afeta usuários do Windows que utilizam o Composer para instalar dependências não confiáveis, expondo-os a injeção de comando. Outros sistemas operacionais e o Subsistema do Windows para Linux (WSL) não são afetados.

Recomendações

Para versões anteriores à 1.10.23, atualize para a versão 1.10.23 ou posterior.

Para versões anteriores à 2.1.9, atualize para a versão 2.1.9 ou posterior.

Como solução temporária, considere evitar a instalação de dependências não confiáveis até que um patch seja aplicado.

Exploit

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

ALT-PU-2022-1766

ALT-PU-2022-1775

BIT-COMPOSER-2021-41116

CVE-2021-41116

GHSA-FRQG-7G38-6GCF

OPENSUSE-SU-2022:0132-1

OPENSUSE-SU-2024:11617-1

OPENSUSE-SU-2024:11874-1

Produtos afetados

Alt Linux

Composer

Referências · 21

• 🔥 https://github.com/FriendsOfPHP/security-advisories/blob/master/composer/composer/CVE-2021-41116.yaml · Exploit
• https://github.com/composer/composer · Nota
• https://github.com/composer/composer/commit/ca5e2f8d505fd3bfac6f7c85b82f2740becbc0aa · Correção
• https://github.com/composer/composer/security/advisories/GHSA-frqg-7g38-6gcf · Nota
• https://t.me/cibsecurity/30000 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2021-41116 · Nota de Segurança
• https://suse.com/security/cve/CVE-2022-24828 · Nota
• https://bugzilla.suse.com/1198494 · Nota
• https://sonarsource.com/blog/securing-developer-tools-package-managers · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-41116 · Aviso do Fabricante
• https://lists.opensuse.org/archives/list/[e-mail]/thread/GK3MSPNLXNEQ4P7QF5ZJB6IK4W6YAUKM · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2024:11617-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41116 · Nota de Segurança
• https://osv.dev/vulnerability/openSUSE-SU-2024:11874-1 · Aviso do Fabricante
• https://tenable.com/security/tns-2022-09 · Nota