可能的符号链接攻击

Question

每次我想升级或安装PEAR包时,都会收到以下一系列错误消息:

C:>梨升级
错误从pear.php.net获取频道信息:安全错误:不会写入C:\ Users\ALVARO.GONZALEZ\AppData\Local\Temp\pear\cache\6d1f6e892384ae452db9a1bd59ee95f5rest.cacheid,因为它符号链接到C:\ Users\ALVARO.GONZALEZ\AppData\Local\Temp\pear\cache\6d1f6e892384ae452db9a1bd59ee95f5rest.cacheid - 可能的符号链接攻击
[...]

它在谈论什么符号链接？当我复制并粘贴两个路径并将它们并排放置时,我真的无法发现差异:

C:\Users\ALVARO.GONZALEZ\AppData\Local\Temp\pear\cache\6d1f6e892384ae452db9a1bd59ee95f5rest.cacheid
C:\Users\ALVARO.GONZALEZ\AppData\Local\Temp\pear\cache\6d1f6e892384ae452db9a1bd59ee95f5rest.cacheid

当我清空缓存目录时,错误消失了:

C:\>pear clear-cache
reading directory C:\Users\ALVARO.GONZALEZ\AppData\Local\Temp\pear\cache
74 cache entries cleared

......直到下次我需要安装东西.

我的问题是:

1. 为什么会触发这些错误？
2. 有没有办法阻止它们出现在首位？

编辑: 2011年底有一个关于此问题的公开票.问题是由PEAR安装中的Symlink攻击的安全修复引起的.无论出来什么,我都会报告.

Answer 1

该问题是一个 PEAR 错误：

• Bug #18056 Windows 回归

该错误已在 2014 年 7 月 12 日发布的PEAR 1.9.5上修复。