【漏洞预警】CNNVD关于ThinkPHP 远程代码执行漏洞情况的通报

admin 2019-5-11 1010

近日,国家信息安全漏洞库(CNNVD)收到关于ThinkPHP远程代码执行漏洞(CNNVD-201812-617)情况的报送。成功利用此漏洞的攻击者可以对目标系统进行远程代码执行攻击。ThinkPHP的5.0.x版和5.1.x版等多个版本均受此漏洞影响。目前,该漏洞的部分漏洞验证代码已经公开,同时ThinkPHP官方已经发布更新修复了该漏洞,建议受该漏洞影响的ThinkPHP用户尽快采取修补措施。

一、漏洞介绍

       ThinkPHP是一个免费开源的,快速简单的面向对象的轻量级PHP开发框架。该框架常被用来进行二次开发,国内应用非常广泛。

       该漏洞形成的原因是ThinkPHP在获取控制器名时未对用户提交的参数进行严格的过滤,在没有开启强制路由的情况下,攻击者可以通过输入‘\’字符的方式调用任意方法,从而实现远程代码执行。

二、危害影响

       成功利用此漏洞的攻击者可以对目标系统进行远程代码执行攻击。目前,该漏洞的部分漏洞验证代码已在互联网上公开,近期被利用的可能性较大。受漏洞影响版本如下:

       ThinkPHP 5.0.x、5.1.x。

三、修复建议

       目前,ThinkPHP官方已经发布更新修复了该漏洞,请用户及时检查产品版本,如确认受到漏洞影响,可按以下措施进行防护。

       1、升级ThinkPHP版本:

       ThinkPHP5.0.X版本,升级至最新的5.0.23版本:

       核心版:http://www.thinkphp.cn/down/1279.html

       完整版:http://www.thinkphp.cn/down/1278.html

       ThinkPHP5.1.X版本,升级至最新的5.1.31版本:

       完整版:https://github.com/top-think/framework/tree/v5.1.31

       2、若用户无法立即升级版本,临时缓解方案:

       开启强制路由,在application/config.php(默认配置文件)文件中配置以下参数:

       'url_route_on'   =>  true,

       'url_route_must' =>  true,

       本通报由新华三技术有限公司、北京启明星辰信息安全技术有限公司、深信服科技股份有限公司、杭州安恒信息技术股份有限公司、北京知道创宇信息技术有限公司、远江盛邦(北京)网络安全科技股份有限公司等CNNVD技术支撑单位提供支持。

少客联盟- 版权声明 1、本主题所有言论和图片纯属会员个人意见,与少客联盟立场无关。
2、本站所有主题由该帖子作者发表,该帖子作者admin少客联盟享有帖子相关版权。
3、少客联盟管理员和版主有权不事先通知发贴者而删除本文。
4、其他单位或个人使用、转载或引用本文时必须同时征得该帖子作者admin少客联盟的同意。
5、帖子作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任。
6、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责。
7、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意。
8、官方反馈邮箱:chinasuc@chinasuc.cn


上一篇:【漏洞预警】CNNVD 关于微软多个安全漏洞的通报
下一篇:量子计算机对加密货币和区块链构成威胁
Whatever is worth doing is worth doing well. juvenile hacker league
最新回复 (0)
    • 少客联盟
      2
        登录 注册 QQ登录(停用)
返回