Amazon Linux 2023：composer (ALAS2023-2024-539)

high Nessus 插件 ID 191593

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，该应用程序受到 ALAS2023-2024-539 公告中提及的漏洞的影响。

- Composer 是 PHP 语言的依存关系管理器。在受影响的版本中，调用 Composer 期间和执行用户的上下文中会包含本地工作目录中的多个文件。
因此，在某些情况下，当在包含被篡改文件的目录中调用 Composer 时，执行任意代码可能会导致本地权限提升，造成横向用户移动或恶意代码执行。所有 Composer CLI 命令都受到影响，包括 composer.phar 的自我更新。以下情况具有高风险：使用 sudo 运行 Composer；某些管道可能会在不受信任的项目上执行 Composer；在同一个项目上各自单独运行 Composer 的开发人员共享环境。此漏洞已在版本 2.7.0 和 2.2.23 中解决。如果方便，建议尽早应用修补后的版本。若无法应用修补后的版本，至少应处理以下事项：删除所有用户的所有 sudo composer 权限以减缓 Root 权限提升；避免在不受信任的目录中运行 Composer；如果需要，验证 `vendor/composer/InstalledVersions.php` 和 `vendor/composer/installed.php` 的内容，确保其中不含不受信任的代码。
也可以通过以下方式对这些文件进行重置：```sh rm vendor/composer/installed.php vendor/composer/InstalledVersions.php composer install --no-scripts --no-plugins``` (CVE-2024-24821)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。