PEAR Archive_Tar のリンク解決の不備（CVE-2020-36193）― 自分では入れた覚えのない部品が、製品の中で動いている

1名前を知らない部品が、動いている

Archive_Tar は、tar 形式の書庫を読み書きするための PHP の部品です。多くの人はこの名前を知りませんが、知らないまま使っています。カタログの説明が、Drupal Core や Red Hat Linux での利用が知られていると書き添えているのは、そのためだと読めます。

脆弱性の説明としては本来不要な情報ですが、「自分が入れた覚えのない部品が、自分の環境で動いている」ことを伝えなければ、対処すべき人に届きません。

2直接使っていなくても、影響は及ぶ

書庫の展開は、外から受け取ったファイルを扱う典型的な場面です。そこでリンクの確認が甘ければ、展開先として想定していない場所へ書き込めてしまいます。二つに分類されているのはそのためで、パス名の制限の不備と、リンクを追ってしまうことの両方が関わります。

3分類が二つ付くということ

分類が二つ付く記録は全体の6.0%にとどまります。単独の弱点ではなく、二つの不備が重なって初めて成立する型があるということです。片方だけを直しても、もう片方が残れば別の経路が開くことがあります。また、これほど広く使われている部品でも、カタログに載った回数は2件です。載る回数の少なさは、影響の小ささを意味しません。

4誰が直すのか

利用している側から見ると、直すべき相手が自分ではないことがあります。部品の更新は製品の更新として降りてくるので、待つほかない場合が多いためです。それでも、何が含まれているかを把握していれば、少なくとも「自分は関係あるか」を判断できます。カタログの説明がわざわざ第三者製品の名前を挙げているのは、その判断を助けるためだと読めます。