Heimdall Security Logo

CVE-2023-43655

Vulnérabilité moyenne dans composer (composer)

CVSS 6.4 · Moyenne
EPSS 1.5%
composer•composer•Versions : >= 2.0, < 2.2.22, 2.6.4, 2.2.21, 1.10.27, < 1.10.27

Description

Composer is a dependency manager for PHP. Users publishing a composer.phar to a public web-accessible server where the composer.phar can be executed as a php file may be subject to a remote code execution vulnerability if PHP also has `register_argc_argv` enabled in php.ini. Versions 2.6.4, 2.2.22 and 1.10.27 patch this vulnerability. Users are advised to upgrade. Users unable to upgrade should make sure `register_argc_argv` is disabled in php.ini, and avoid publishing composer.phar to the web as this is not best practice.

Gravité et risque d'exploitation

CVE-2023-43655 obtient un score CVSS de 6.4/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 1.53 %, ce qui la place devant 74.4 % des CVE référencées.

Que faire ?

  • Vérifiez si composer (versions >= 2.0, < 2.2.22, 2.6.4, 2.2.21, 1.10.27, < 1.10.27) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE