Обзор уязвимости
■ История уязвимости
Laravel — это набор лаконичных и элегантных фреймворков для веб-разработки на PHP (PHP Web Framework), целью которых является реализация архитектуры MVC веб-приложений.Он может освободить разработчиков от беспорядочного кода, такого как лапша, и помочь создать идеальное сетевое приложение. строка кода может быть лаконичной и выразительной. Группа предупреждения об угрозах Xinhua Three Attack and Defense Lab обнаружила уязвимость Laravel, которая делает возможным удаленное выполнение кода. Номер уязвимости: CVE-2021-43503. Успешное использование этой уязвимости может привести к удаленному выполнению кода на хосте-жертве.
■ Принцип уязвимости
Уязвимость возникает из-за __destruct() в Routing\PendingResource\Registration.php, __call() в Queue\Capsule\Manager.php и магической функции __invoke() в mockery\library\Mockery\ClosureWrapper.php Уязвимость десериализации, позволяющая злоумышленнику для выполнения произвольного кода на хосте-жертве.
■ Сфера влияния
Ларавель 5.8.38
Уровень уязвимости: высокий риск CVSS: 9,8
Способ утилизации
■ Официальный патч
В настоящее время выпущен официальный патч для этой уязвимости, пожалуйста, обновите затронутых пользователей как можно скорее.
https://github.com/laravel/laravel/релизы
■ Новое решение H3C
1. Схема защиты оборудования безопасности H3C
База правил H3C IPS будет поддерживать идентификацию этой уязвимости в версии 1.0.181.Все продукты безопасности H3C могут идентифицировать атакующий трафик этой уязвимости путем обновления базы данных сигнатур IPS и активно их перехватывать. .
2. Решение H3C для ситуационной осведомленности
Ситуационная осведомленность H3C уже способствовала обнаружению этой уязвимости.Благодаря комплексным методам исследования и оценки, таким как сбор и интеграция информации, анализ корреляции данных и т. д., компания обнаружила активы, которые были атакованы и потеряны из-за этой уязвимости в сети.
3. Решение Центра компетенции по облачной безопасности H3C
База знаний H3C Cloud Security Competence Center обновила информацию об уязвимостях, и вы можете запросить соответствующий принцип генерации уязвимостей, обновления исправлений, меры по устранению и т. д.
Ссылка на ссылку
https://github.com/guoyanan1g/Laravel-vul/issues/2#issue-1045655892
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-43503
