等保门户网: 测评整改

【漏洞预警】CNNVD关于ThinkPHP 远程代码执行漏洞情况的通报

来源:admin 发布日期:2018-12-19

   近日,国家信息安全漏洞库(CNNVD)收到关于ThinkPHP远程代码执行漏洞(CNNVD-201812-617)情况的报送。成功利用此漏洞的攻击者可以对目标系统进行远程代码执行攻击。ThinkPHP的5.0.x版和5.1.x版等多个版本均受此漏洞影响。目前,该漏洞的部分漏洞验证代码已经公开,同时ThinkPHP官方已经发布更新修复了该漏洞,建议受该漏洞影响的ThinkPHP用户尽快采取修补措施。
一、漏洞介绍
   ThinkPHP是一个免费开源的,快速简单的面向对象的轻量级PHP开发框架。该框架常被用来进行二次开发,国内应用非常广泛。
   该漏洞形成的原因是ThinkPHP在获取控制器名时未对用户提交的参数进行严格的过滤,在没有开启强制路由的情况下,攻击者可以通过输入‘\’字符的方式调用任意方法,从而实现远程代码执行。
二、危害影响
   成功利用此漏洞的攻击者可以对目标系统进行远程代码执行攻击。目前,该漏洞的部分漏洞验证代码已在互联网上公开,近期被利用的可能性较大。受漏洞影响版本如下:
   ThinkPHP 5.0.x、5.1.x。
三、修复建议
   目前,ThinkPHP官方已经发布更新修复了该漏洞,请用户及时检查产品版本,如确认受到漏洞影响,可按以下措施进行防护。
   1、升级ThinkPHP版本:
   ThinkPHP5.0.X版本,升级至最新的5.0.23版本:
   核心版:http://www.thinkphp.cn/down/1279.html
   完整版:http://www.thinkphp.cn/down/1278.html
   ThinkPHP5.1.X版本,升级至最新的5.1.31版本:
   完整版:https://github.com/top-think/framework/tree/v5.1.31
  2、若用户无法立即升级版本,临时缓解方案:
   开启强制路由,在application/config.php(默认配置文件)文件中配置以下参数:
   'url_route_on'   =>  true,
   'url_route_must' =>  true,
来源:国家信息安全漏洞库

【关闭】 【打印】

您是第 47409321 位访问者
沪ICP备 12039260号 京公网安备 11010802025578号