[漏洞预警]Laravel <= 8.4.2 Debug模式 _ignition 远程代码执行漏洞

写在前面:原文章地址 help.aliyun.com/noticelist/article... 侵权删

【漏洞预警】Laravel <= 8.4.2 Debug模式 _ignition 远程代码执行漏洞

2021年1月13日,阿里云应急响应中心监控到国外某安全研究团队披露了Laravel <= 8.4.2 存在远程代码执行漏洞。

漏洞描述

Laravel 是一个免费的开源 PHP Web 框架,旨在实现的Web软件的MVC架构。2021年1月13日,阿里云应急响应中心监控到国外某安全研究团队披露了 Laravel <= 8.4.2 存在远程代码执行漏洞。当Laravel开启了Debug模式时,由于Laravel自带的Ignition功能的某些接口存在过滤不严,攻击者可以发起恶意请求,通过构造恶意Log文件等方式触发Phar反序列化,从而造成远程代码执行,控制服务器。漏洞细节已在互联网公开。阿里云应急响应中心提醒 Laravel 用户尽快采取安全措施阻止漏洞攻击。

影响版本

Laravel 框架 < 8.4.3

facade ignition 组件 < 2.5.2

安全版本

Laravel 框架 >= 8.4.3

facade ignition 组件 >= 2.5.2

安全建议

建议将 Laravel 框架升级至8.4.3及其以上版本,或者将 facade ignition组件升级至 2.5.2 及其以上版本。

相关链接

github.com/facade/ignition/pull/33...

www.ambionics.io/blog/laravel-debu...

本作品采用《CC 协议》,转载必须注明作者和本文链接
it_cwc
《L02 从零构建论坛系统》
以构建论坛项目 LaraBBS 为线索,展开对 Laravel 框架的全面学习。应用程序架构思路贴近 Laravel 框架的设计哲学。
《L05 电商实战》
从零开发一个电商项目,功能包括电商后台、商品 & SKU 管理、购物车、订单管理、支付宝支付、微信支付、订单退款流程、优惠券等
讨论数量: 5

还是你发的快,我刚修复了准备发😂

1周前 评论
小民爱Laravel

【阿里云】【高危漏洞预警】尊敬的***,您好,2021年1月13日,阿里云应急响应中心监控到国外某安全研究团队披露了Laravel <= 8.4.2 存在远程代码执行漏洞。攻击者可直接发起恶意请求,通过构造恶意Log文件等方式触发Phar反序列化,从而造成远程代码执行。经阿里云工程师紧急排查,您的服务器: http://****.com/login 疑似受漏洞影响,建议您尽快使用阿里云云安全中心应急漏洞模块进行一键检测。参考:p.tb.cn/74s4TO

1周前 评论

APP_DEBUG=false是不是就可以了,线上的也不开DEBUG

1周前 评论
wanzi 1周前

不会有线上的项目还不关debug吧~~

1周前 评论

讨论应以学习和精进为目的。请勿发布不友善或者负能量的内容,与人为善,比聪明更重要!