中危 已发布的 microsoft-graph 包中的测试代码暴露了 phpinfo() (CVE-2023-49282)
CVE编号
CVE-2023-49282利用情况
暂无补丁情况
官方补丁披露时间
2023-12-06漏洞描述
msgraph-sdk-php是用于PHP的Microsoft Graph库。Microsoft Graph PHP SDK发布的包中包含了测试代码，使得可以从任何可以访问和执行/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php文件的应用程序中使用phpInfo()函数。phpInfo函数公开了系统信息。该漏洞影响了PHP SDK的GetPhpInfo.php脚本，该脚本包含对phpinfo()函数的调用。此漏洞需要存在服务器的错误配置才能被利用，例如使PHP应用程序的/vendor目录对Web可访问。漏洞与服务器错误配置的组合将允许攻击者构造一个执行phpinfo()方法的HTTP请求。攻击者将能够获取系统信息（如配置、模块和环境变量），并后续利用被泄漏的机密信息访问附加数据。此问题已在版本1.109.1和2.0.0-RC5中修复。如果无法立即部署更新的供应商软件包，则可以执行以下临时解决方法：删除' vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php' 文件，删除对 '/vendor' 目录的访问权限，或者禁用 phpinfo 函数。解决建议
"将组件 microsoft/microsoft-graph 升级至 1.109.1 及以上版本""将组件 microsoft/microsoft-graph 升级至 2.0.1 及以上版本"受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | microsoft | graph | * | From (including) 1.16.0 | Up to (excluding) 1.109.1 | ||||
| 运行在以下环境 | |||||||||
| 应用 | microsoft | graph | * | From (including) 2.0.0 | Up to (excluding) 2.0.1 | ||||
- 攻击路径 本地
- 攻击复杂度 困难
- 权限要求 管控权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-200 | 信息暴露 |
| NVD-CWE-noinfo |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论