中危 已发布的 microsoft-graph-core 包中的测试代码暴露了 phpinfo() (CVE-2023-49283)
CVE编号
CVE-2023-49283利用情况
暂无补丁情况
官方补丁披露时间
2023-12-06漏洞描述
Microsoft Graph Beta PHP SDK发布的软件包中包含测试代码，允许访问并执行`vendor/microsoft/microsoft-graph-core/tests/GetPhpInfo.php`文件的任何应用程序使用phpInfo()函数。phpInfo函数可以公开系统信息。该漏洞影响PHP SDK的GetPhpInfo.php脚本，其中包含对phpinfo()函数的调用。此漏洞需要服务器的错误配置才能被利用，例如使PHP应用程序的/vendor目录可被Web访问。漏洞和服务器错误配置的组合将允许攻击者构造执行phpinfo()方法的HTTP请求。攻击者可以获取系统信息（如配置、模块和环境变量），并后续使用被侵入的密钥访问其他数据。此问题已在版本2.0.2中修复。如果没有立即部署更新的供应商软件包，可以执行以下临时解决方案：删除`vendor/microsoft/microsoft-graph-core/tests/GetPhpInfo.php`文件，禁止访问/vendor目录，或禁用phpinfo函数。解决建议
"将组件 microsoft/microsoft-graph-core 升级至 2.0.2 及以上版本"受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | microsoft | graph | * | Up to (excluding) 2.0.2 | |||||
- 攻击路径 本地
- 攻击复杂度 困难
- 权限要求 管控权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-200 | 信息暴露 |
| NVD-CWE-noinfo |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论