【误差通告】CVE-2021-3129 Laravel远程代码执行误差
宣布时间 2021-01-140x00 误差概述
CVE ID | CVE-2021-3129 | 时 间 | 2021-01-14 |
类 型 | RCE | 等 级 | 高危 |
远程使用 | 是 | 影响规模 | Laravel <= 8.4.2 |
0x01 误差详情
Laravel是一套精练、开源的PHP Web开发框架，，，，，，旨在实现Web软件的MVC架构。。。。 。
2021年01月12日，，，，，，Laravel被披露保存一个远程代码执行误差（CVE-2021-3129）。。。。 。
当Laravel开启了Debug模式时，，，，，，由于Laravel自带的Ignition 组件对file_get_contents()和file_put_contents()函数的不清静使用，，，，，，攻击者可以通过提倡恶意请求，，，，，，结构恶意Log文件等方法触发Phar反序列化，，，，，，最终造成远程代码执行。。。。 。
阻止现在，，，，，，使用Zoomeye搜索，，，，，，全球共有193851个网站正在使用Laravel。。。。 。
影响规模
Laravel <= 8.4.2
Ignition <2.5.2
0x02 处置惩罚建议
建议将 Laravel 框架升级至8.4.3及以上版本，，，，，，或将 Ignition组件升级至 2.5.2 及以上版本。。。。 。
下载链接：
https://laravel.com/docs/8.x#laravel-the-fullstack-framework
0x03 参考链接
https://github.com/facade/ignition/pull/334
https://www.tenable.com/cve/CVE-2021-3129
https://www.ambionics.io/blog/laravel-debug-rce
0x04 时间线
2021-01-12 Ambionics Security披露误差
2021-01-14 VSRC宣布清静通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号