等保门户网: 测评整改

【漏洞预警】CNNVD关于ThinkPHP 远程代码执行漏洞情况的通报

来源:admin 发布日期:2019-01-22

近日,国家信息安全漏洞库(CNNVD)收到关于ThinkPHP 5.0远程代码执行漏洞(CNNVD-201901-445)情况的报送。成功利用此漏洞的攻击者可以对目标系统进行远程代码执行攻击。ThinkPHP 5.0.x–5.0.23等多个版本均受此漏洞影响。目前,该漏洞的漏洞验证代码已经公开,同时ThinkPHP官方已经发布了该漏洞的修补措施,建议用户及时确认是否受到漏洞影响,尽快采取修补措施。

一、漏洞介绍

ThinkPHP是一个免费开源的,快速简单的面向对象的轻量级PHP开发框架。该框架常被用来进行二次开发,国内应用非常广泛。

Thinkphp在实现框架中的核心类Requestmethod方法实现了表单请求伪装。但由于对$_POST[‘_method’]属性校验不严格,导致攻击者可以通过变量覆盖掉Request类的属性并结合框架特性实现对任意函数的调用,从而实现远程代码执行。

二、危害影响

成功利用此漏洞的攻击者可以对目标系统进行远程代码执行攻击。目前,该漏洞的漏洞验证代码已在互联网上公开,近期被利用的可能性较大。受漏洞影响版本如下:

ThinkPHP 5.0.x–5.0.23

三、修复建议

目前,ThinkPHP官方已经发布更新修复了该漏洞,建议用户及时确认是否受到漏洞影响,尽快采取修补措施。官方链接如下:

http://www.thinkphp.cn/down.html

来源:国家信息安全漏洞库

【关闭】 【打印】

您是第 43864135 位访问者
沪ICP备 12039260号 京公网安备 11010802025578号