p PatchFirst

CVE-2024-35241

CVE-2024-35241 · Composer vulnerable to command injection via malicious git branch name

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Composer is a dependency manager for PHP. On the 2.x branch prior to versions 2.2.24 and 2.7.7, the `status`, `reinstall` and `remove` commands with packages installed from source via git containing specially crafted branch names in the repository can be used to execute code. Patches for this issue are available in version 2.2.24 for 2.2 LTS or 2.7.7 for mainline. As a workaround, avoid installing dependencies via git by using `--prefer-dist` or the `preferred-install: dist` config setting.

CVSS 8.8 · Élevée · EPSS 1,1% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · php

Produits et versions concernés

  • composer

    Versions du logiciel
    • >= 2.0, < 2.2.24: Concernée
    • >= 2.3, < 2.7.7: Concernée

    Aucun correctif publié

  • composer Debian:12

    Versions du logiciel
    • 2.5.5-1
    • 2.5.5-1+deb12u1
    Plages de versions concernées
    • ECOSYSTEM: < 2.5.5-1+deb12u2

    Mettez à jour vers 2.5.5-1+deb12u2

  • composer Debian:13

    Plages de versions concernées
    • ECOSYSTEM: < 2.7.7-1

    Mettez à jour vers 2.7.7-1

  • composer Debian:14

    Plages de versions concernées
    • ECOSYSTEM: < 2.7.7-1

    Mettez à jour vers 2.7.7-1

  • composer/composer Packagist

    Versions du logiciel
    • 2.0.0
    • 2.0.0-RC1
    • 2.0.0-RC2
    • 2.0.0-alpha1
    • 2.0.0-alpha2
    • 2.0.0-alpha3
    • 2.0.1
    • 2.0.10
    • 2.0.11
    • 2.0.12
    • 2.0.13
    • 2.0.14
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.0.5
    • 2.0.6
    • 2.0.7
    • 2.0.8
    • 2.0.9
    • 2.1.0
    • 2.1.0-RC1
    • 2.1.1
    • 2.1.10
    • 2.1.11
    • 2.1.12
    • 2.1.14
    • 2.1.2
    • 2.1.3
    • 2.1.4
    • 2.1.5
    • 2.1.6
    • 2.1.7
    • 2.1.8
    • 2.1.9
    • 2.2.0
    • 2.2.0-RC1
    • 2.2.1
    • 2.2.10
    • 2.2.11
    • 2.2.12
    • 2.2.13
    • 2.2.14
    • 2.2.15
    • 2.2.16
    • 2.2.17
    • 2.2.18
    • 2.2.19
    • 2.2.2
    • 2.2.20
    • 2.2.21
    • 2.2.22
    • 2.2.23
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.2.6
    • 2.2.7
    • 2.2.8
    • 2.2.9
    Plages de versions concernées
    • ECOSYSTEM: ≥ 2.0, < 2.2.24

    Mettez à jour vers 2.2.24

  • composer/composer Packagist

    Versions du logiciel
    • 2.3.0
    • 2.3.0-RC1
    • 2.3.0-RC2
    • 2.3.1
    • 2.3.10
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    • 2.3.6
    • 2.3.7
    • 2.3.8
    • 2.3.9
    • 2.4.0
    • 2.4.0-RC1
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.5.3
    • 2.5.4
    • 2.5.5
    • 2.5.6
    • 2.5.7
    • 2.5.8
    • 2.6.0
    • 2.6.1
    • 2.6.2
    • 2.6.3
    • 2.6.4
    • 2.6.5
    • 2.6.6
    • 2.7.0
    • 2.7.1
    • 2.7.2
    • 2.7.3
    • 2.7.4
    • 2.7.5
    • 2.7.6
    Plages de versions concernées
    • ECOSYSTEM: ≥ 2.3, < 2.7.7

    Mettez à jour vers 2.7.7

  • composer Ubuntu:Pro:16.04:LTS

    Versions du logiciel
    • 1.0.0~alpha10+20150602-1
    • 1.0.0~alpha10+20150602-2
    • 1.0.0~alpha11-1
    • 1.0.0~alpha11-1ubuntu1
    • 1.0.0~alpha11-2
    • 1.0.0~alpha11-3
    • 1.0.0~beta1-1ubuntu1
    • 1.0.0~beta2-1
    • 1.0.0~beta2-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: < 1.0.0~beta2-1ubuntu0.1~esm2

    Mettez à jour vers 1.0.0~beta2-1ubuntu0.1~esm2

  • composer Ubuntu:Pro:18.04:LTS

    Versions du logiciel
    • 1.5.1-1
    • 1.5.2-1
    • 1.6.2-1
    • 1.6.3-1
    • 1.6.3-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: < 1.6.3-1ubuntu0.1~esm2

    Mettez à jour vers 1.6.3-1ubuntu0.1~esm2

  • composer Ubuntu:Pro:20.04:LTS

    Versions du logiciel
    • 1.9.0-2
    • 1.9.1-1
    • 1.9.2-1
    • 1.9.3-1
    • 1.10.0-1
    • 1.10.1-1
    • 1.10.1-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: < 1.10.1-1ubuntu0.1~esm2

    Mettez à jour vers 1.10.1-1ubuntu0.1~esm2

  • composer Ubuntu:Pro:22.04:LTS

    Versions du logiciel
    • 2.0.9-2ubuntu2
    • 2.0.9-2ubuntu3
    • 2.0.13-1ubuntu1
    • 2.1.12-1ubuntu1
    • 2.2.6-2ubuntu4
    Plages de versions concernées
    • ECOSYSTEM: < 2.2.6-2ubuntu4+esm1

    Mettez à jour vers 2.2.6-2ubuntu4+esm1

  • composer Ubuntu:Pro:24.04:LTS

    Versions du logiciel
    • 2.5.8-1
    • 2.6.5-1
    • 2.6.6-1
    • 2.7.1-2
    Plages de versions concernées
    • ECOSYSTEM: < 2.7.1-2ubuntu0.1~esm1

    Mettez à jour vers 2.7.1-2ubuntu0.1~esm1

Sources originales

Vérifiez votre serveur →