FusionAuth远程代码执行误差危害通告

宣布时间 2020-02-04

误差编号和级别


CVE编号：CVE-2020-7799，，，，，危险级别：高危，，，，，CVSS分值：官方未评定


影响版本


Apache FusionAuth <= 1.10


误差概述


克日，，，，，Apache FusionAuth宣布新版本修复了一个远程代码执行误差。。。发明在FusionAuth中经由身份验证的用户可以编辑电子邮件模板(Home->Settings->Email Templates)或主题(Home->Settings->Themes)，，，，，从而通过处置惩罚自界说模板的Apache FreeMarker引擎中的freemarker.template.utility.Execute在底层操作系统上执行恣意下令。。。


FusionAuth是现代的会见治理开源应用程序，，，，，可以与多种手艺清静台集成。。�？？ ？梢酝ü卫硪潜戆逡远嘀址椒ㄉ柚煤妥越缢礔usionAuth，，，，，为任何应用程序提供身份验证、授权和用户治理；；；；；由于使用Apache FreeMarker模板引擎，，，，，且未对用户输入数据举行过滤，，，，，此误差将对效劳器清静造成严重威胁。。。


误差验证


EXP：https://cxsecurity.com/issue/WLB-2020010208。。。


修复建议


现在厂商已宣布新版本FusionAuth 1.11修复误差，，，，，受影响的用户请尽快更新升级举行防护：https://fusionauth.io/docs/v1/tech/installation-guide/upgrade。。。


参考链接


https://lab.mediaservice.net/advisory/2020-03-fusionauth.txt