[漏洞预警]Laravel <= 8.4.2 Debug模式 _ignition 远程代码执行漏洞

写在前面:原文章地址 help.aliyun.com/noticelist/article... 侵权删

【漏洞预警】Laravel <= 8.4.2 Debug模式 _ignition 远程代码执行漏洞

2021年1月13日,阿里云应急响应中心监控到国外某安全研究团队披露了Laravel <= 8.4.2 存在远程代码执行漏洞。

漏洞描述

Laravel 是一个免费的开源 PHP Web 框架,旨在实现的Web软件的MVC架构。2021年1月13日,阿里云应急响应中心监控到国外某安全研究团队披露了 Laravel <= 8.4.2 存在远程代码执行漏洞。当Laravel开启了Debug模式时,由于Laravel自带的Ignition功能的某些接口存在过滤不严,攻击者可以发起恶意请求,通过构造恶意Log文件等方式触发Phar反序列化,从而造成远程代码执行,控制服务器。漏洞细节已在互联网公开。阿里云应急响应中心提醒 Laravel 用户尽快采取安全措施阻止漏洞攻击。

影响版本

Laravel 框架 < 8.4.3

facade ignition 组件 < 2.5.2

安全版本

Laravel 框架 >= 8.4.3

facade ignition 组件 >= 2.5.2

安全建议

建议将 Laravel 框架升级至8.4.3及其以上版本,或者将 facade ignition组件升级至 2.5.2 及其以上版本。

相关链接

github.com/facade/ignition/pull/33...

www.ambionics.io/blog/laravel-debu...

本作品采用《CC 协议》,转载必须注明作者和本文链接
it_cwc
《L02 从零构建论坛系统》
以构建论坛项目 LaraBBS 为线索,展开对 Laravel 框架的全面学习。应用程序架构思路贴近 Laravel 框架的设计哲学。
《G01 Go 实战入门》
从零开始带你一步步开发一个 Go 博客项目,让你在最短的时间内学会使用 Go 进行编码。项目结构很大程度上参考了 Laravel。
讨论数量: 5

还是你发的快,我刚修复了准备发😂

3年前 评论
小民爱Laravel

【阿里云】【高危漏洞预警】尊敬的***,您好,2021年1月13日,阿里云应急响应中心监控到国外某安全研究团队披露了Laravel <= 8.4.2 存在远程代码执行漏洞。攻击者可直接发起恶意请求,通过构造恶意Log文件等方式触发Phar反序列化,从而造成远程代码执行。经阿里云工程师紧急排查,您的服务器: http://****.com/login 疑似受漏洞影响,建议您尽快使用阿里云云安全中心应急漏洞模块进行一键检测。参考:p.tb.cn/74s4TO

3年前 评论

APP_DEBUG=false是不是就可以了,线上的也不开DEBUG

3年前 评论
wanzi 3年前

不会有线上的项目还不关debug吧~~

3年前 评论

讨论应以学习和精进为目的。请勿发布不友善或者负能量的内容,与人为善,比聪明更重要!