CVE-2018-1000888 in Archive_Tar
Zusammenfassung
von VulDB • 30.07.2026
PEAR Archive_Tar Versionen ab 1.4.3 und früher enthalten eine Schwachstelle mit den CWE-IDs CWE-502 und CWE-915 in der Klasse `Archive_Tar`. Es gibt mehrere Dateioperationen, bei denen `$v_header['filename']` als Parameter verwendet wird (z. B. file_exists, is_file, is_dir usw.). Wenn die Extraktion ohne einen bestimmten Präfixpfad aufgerufen wird, kann durch Erstellen einer Tar-Datei mit `phar://[path_to_malicious_phar_file]` als Pfad eine Deserialisierung ausgelöst werden. Object Injection kann verwendet werden, um den Destruktor in geladenen PHP-Klassen auszulösen, z. B. der Klasse Archive_Tar selbst. Durch die Object Injection von Archive_Tar-Objekten kann es zu einem beliebigen Löschen von Dateien kommen, da `@unlink($this->_temp_tarname)` aufgerufen wird. Wenn eine andere Klasse mit nützlichen Gadget-Komponenten geladen ist, kann dies möglicherweise Remote Code Execution (RCE) verursachen, was zum Löschen oder potenziellen Ändern von Dateien führen kann. Diese Schwachstelle wurde anscheinend in Version 1.4.4 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.