p PatchFirst

CVE-2024-35241

CVE-2024-35241 · Composer vulnerable to command injection via malicious git branch name

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Composer is a dependency manager for PHP. On the 2.x branch prior to versions 2.2.24 and 2.7.7, the `status`, `reinstall` and `remove` commands with packages installed from source via git containing specially crafted branch names in the repository can be used to execute code. Patches for this issue are available in version 2.2.24 for 2.2 LTS or 2.7.7 for mainline. As a workaround, avoid installing dependencies via git by using `--prefer-dist` or the `preferred-install: dist` config setting.

CVSS 8.8 · Hoch · EPSS 1,1% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · php

Betroffene Produkte und Versionen

  • composer

    Softwareversionen
    • >= 2.0, < 2.2.24: Betroffen
    • >= 2.3, < 2.7.7: Betroffen

    Keine Korrektur veröffentlicht

  • composer Debian:12

    Softwareversionen
    • 2.5.5-1
    • 2.5.5-1+deb12u1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.5.5-1+deb12u2

    Auf 2.5.5-1+deb12u2 aktualisieren

  • composer Debian:13

    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.7.7-1

    Auf 2.7.7-1 aktualisieren

  • composer Debian:14

    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.7.7-1

    Auf 2.7.7-1 aktualisieren

  • composer/composer Packagist

    Softwareversionen
    • 2.0.0
    • 2.0.0-RC1
    • 2.0.0-RC2
    • 2.0.0-alpha1
    • 2.0.0-alpha2
    • 2.0.0-alpha3
    • 2.0.1
    • 2.0.10
    • 2.0.11
    • 2.0.12
    • 2.0.13
    • 2.0.14
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.0.5
    • 2.0.6
    • 2.0.7
    • 2.0.8
    • 2.0.9
    • 2.1.0
    • 2.1.0-RC1
    • 2.1.1
    • 2.1.10
    • 2.1.11
    • 2.1.12
    • 2.1.14
    • 2.1.2
    • 2.1.3
    • 2.1.4
    • 2.1.5
    • 2.1.6
    • 2.1.7
    • 2.1.8
    • 2.1.9
    • 2.2.0
    • 2.2.0-RC1
    • 2.2.1
    • 2.2.10
    • 2.2.11
    • 2.2.12
    • 2.2.13
    • 2.2.14
    • 2.2.15
    • 2.2.16
    • 2.2.17
    • 2.2.18
    • 2.2.19
    • 2.2.2
    • 2.2.20
    • 2.2.21
    • 2.2.22
    • 2.2.23
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.2.6
    • 2.2.7
    • 2.2.8
    • 2.2.9
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 2.0, < 2.2.24

    Auf 2.2.24 aktualisieren

  • composer/composer Packagist

    Softwareversionen
    • 2.3.0
    • 2.3.0-RC1
    • 2.3.0-RC2
    • 2.3.1
    • 2.3.10
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    • 2.4.0
    • 2.4.0-RC1
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.5.3
    • 2.5.4
    • 2.5.5
    • 2.5.6
    • 2.5.7
    • 2.5.8
    • 2.6.0
    • 2.6.1
    • 2.6.2
    • 2.6.3
    • 2.6.4
    • 2.6.5
    • 2.6.6
    • 2.7.0
    • 2.7.1
    • 2.7.2
    • 2.7.3
    • 2.7.4
    • 2.7.5
    • 2.7.6
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 2.3, < 2.7.7

    Auf 2.7.7 aktualisieren

  • composer Ubuntu:Pro:16.04:LTS

    Softwareversionen
    • 1.0.0~alpha10+20150602-1
    • 1.0.0~alpha10+20150602-2
    • 1.0.0~alpha11-1
    • 1.0.0~alpha11-1ubuntu1
    • 1.0.0~alpha11-2
    • 1.0.0~alpha11-3
    • 1.0.0~beta1-1ubuntu1
    • 1.0.0~beta2-1
    • 1.0.0~beta2-1ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.0.0~beta2-1ubuntu0.1~esm2

    Auf 1.0.0~beta2-1ubuntu0.1~esm2 aktualisieren

  • composer Ubuntu:Pro:18.04:LTS

    Softwareversionen
    • 1.5.1-1
    • 1.5.2-1
    • 1.6.2-1
    • 1.6.3-1
    • 1.6.3-1ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.6.3-1ubuntu0.1~esm2

    Auf 1.6.3-1ubuntu0.1~esm2 aktualisieren

  • composer Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 1.9.0-2
    • 1.9.1-1
    • 1.9.2-1
    • 1.9.3-1
    • 1.10.0-1
    • 1.10.1-1
    • 1.10.1-1ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.10.1-1ubuntu0.1~esm2

    Auf 1.10.1-1ubuntu0.1~esm2 aktualisieren

  • composer Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 2.0.9-2ubuntu2
    • 2.0.9-2ubuntu3
    • 2.0.13-1ubuntu1
    • 2.1.12-1ubuntu1
    • 2.2.6-2ubuntu4
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.2.6-2ubuntu4+esm1

    Auf 2.2.6-2ubuntu4+esm1 aktualisieren

  • composer Ubuntu:Pro:24.04:LTS

    Softwareversionen
    • 2.5.8-1
    • 2.6.5-1
    • 2.6.6-1
    • 2.7.1-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.7.1-2ubuntu0.1~esm1

    Auf 2.7.1-2ubuntu0.1~esm1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →