根据安装的 php-pear 程序包版本，远程主机上安装的 EulerOS 会受到下列漏洞影响：- PEAR Archive_Tar 1.4.3 版和更旧版本在 Archive_Tar 类别中包含一个 CWE-502、CWE-915 漏洞。存在数个文件操作将 `$v_header['filename']` 作为参数（例如 file_exists、is_file、is_dir 等等）。如果在没有特定前缀路径时调用 extract，我们可以使用 `phar://[path_to_malicious_phar_file]` 作为路径来特制一个 tar 文件，以触发反序列化。对象注入在已加载的 PHP 类别（例如 Archive_Tar 类别本身）中可用以触发毁损。使用 Archive_Tar 对象注入时，可能会发生任意文件删除，因为调用了 `@unlink($this->_temp_tarname)`。如果加载另一个具有实用小工具的类别，可能会造成远程代码执行，进而导致文件遭到删除或可能遭到修改。(CVE-2018-1000888) 请注意，Tenable Network Security 已直接从 EulerOS 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

EulerOS 2.0 SP2：php-pear (EulerOS-SA-2019-1121)

high Nessus 插件 ID 123595

未找到变更日志