Composer是PHP语言的依赖管理器。在受影响的版本中,在调用Composer时会包含本地工作目录中的几个文件,并在执行用户的上下文中执行。因此,在某些条件下,当在被篡改文件的目录中调用Composer时,任意代码执行可能导致本地权限提升、横向用户移动或恶意代码执行。所有的Composer CLI命令都受到影响,包括composer.phar的自更新。以下情况具有较高风险:以sudo权限运行Composer、在不受信任的项目上执行Composer的流水线、在同一项目上独立运行Composer的开发者共享环境。此漏洞已在版本2.7.0和2.2.23中得到修复。建议尽快应用修补过的版本。如果不可能进行更新,应采取以下措施:删除所有用户的sudo composer权限以减轻root权限提升的风险,并避免在不受信任的目录中运行Composer,如果需要在此类目录中运行,请验证`vendor/composer/InstalledVersions.php`和`vendor/composer/installed.php`的内容不存在不受信任的代码。还可以通过以下方法对这些文件进行重置:```sh
rm vendor/composer/installed.php vendor/composer/InstalledVersions.php
composer install --no-scripts --no-plugins
```
建议您更新当前系统或软件至最新版,完成漏洞的修复。