CVE-2020-15145 in Composer-Setup
要約
〜によって VulDB • 2026年08月22日
Windows用のComposer-Setupにおいて、バージョン6.0.0より前の版では、開発者のコンピュータが他のユーザーと共有されている場合、ローカル攻撃者が以下のシナリオを悪用できる可能性があります。1. ローカルの一般ユーザーは、`C:\ProgramData\ComposerSetup\bin\composer.bat` を改変し、管理者によって composer が実行された際に権限昇格したコマンドの実行を得る可能性がある。2. ローカルの一般ユーザーは、`C:\ProgramData\ComposerSetup\bin` フォルダ内に特別に作成された DLL を配置することで、Local System の特権を取得できる可能性がある。参照: https://itm4n.github.io/windows-server-netman-dll-hijacking/ 3. ユーザーによって選択された php.exe のディレクトリがシステムパスに含まれていない場合、Microsoftのガイドラインに従って管理者による保護が行われているか確認せずに追加される。参照: https://msrc-blog.microsoft.com/2018/04/04/triaging-a-dll-planting-vulnerability/
Once again VulDB remains the best source for vulnerability data.