国产精品导航一区二区丨动漫成人无码精品一区二区三区丨久久国内精品自在自线波多野结氏丨久久久久久久久久久网站丨亚洲日韩乱码中文无码蜜桃臀网站丨午夜成人无码福利免费视频丨最新中文乱码字字幕在线丨夜夜骑夜夜操丨久久久久久久久久久av丨女人久久丨日本乱偷互换人妻中文字幕丨日本猛少妇色xxxxx猛交图片丨亚洲欧洲精品成人丨国产人成高清在线视频99最全资源丨91文字幕巨乱亚洲香蕉丨日本欧美视频在线观看丨三级黄毛片丨114一级片丨成人免费午夜福利片在线观看丨国产主播福利在线丨黄色的一级片丨久久99国产精品女同丨三区四区丨久久精品视频一区二区三区丨日韩一区二区三区在线视频

關(guān)于ThinkPHP 5.0.x存在遠(yuǎn)程代碼執(zhí)行漏洞的安全公告

2019-01-11 18:37:05

安全公告編號(hào):CNTA-2019-0004

2019年1月11日，國家信息安全漏洞共享平臺(tái)（CNVD）收錄了ThinkPHP遠(yuǎn)程代碼執(zhí)行漏洞（CNVD-2019-01092）。攻擊者利用該漏洞，可在未授權(quán)的情況下遠(yuǎn)程執(zhí)行代碼。目前，漏洞利用原理已公開，廠商已發(fā)布新版本修復(fù)此漏洞。

一、漏洞情況分析

ThinkPHP采用面向?qū)ο蟮拈_發(fā)結(jié)構(gòu)和MVC模式，融合了Struts的思想和TagLib（標(biāo)簽庫）、RoR的ORM映射和ActiveRecord模式，是一款兼容性高、部署簡(jiǎn)單的輕量級(jí)國產(chǎn)PHP開發(fā)框架。

2019年1月11日，ThinkPHP團(tuán)隊(duì)發(fā)布了版本更新信息，修復(fù)了遠(yuǎn)程代碼執(zhí)行漏洞。該漏洞是由于框架在對(duì)關(guān)鍵類Request處理過程中，通過變量覆蓋實(shí)現(xiàn)對(duì)該類任意函數(shù)的調(diào)用，構(gòu)造相應(yīng)請(qǐng)求可對(duì)Request類屬性值進(jìn)行覆蓋，導(dǎo)致任意代碼執(zhí)行。攻擊者利用該漏洞，可在未經(jīng)授權(quán)的情況下，對(duì)目標(biāo)網(wǎng)站進(jìn)行遠(yuǎn)程命令執(zhí)行攻擊。

CNVD對(duì)該漏洞的綜合評(píng)級(jí)為“高危”。

二、漏洞影響范圍

漏洞影響的產(chǎn)品版本包括：

ThinkPHP 5.0.x ~ 5.0.23版

CNVD秘書處對(duì)使用ThinkPHP框架的網(wǎng)站服務(wù)器進(jìn)行探測(cè)，數(shù)據(jù)顯示全球使用ThinkPHP框架的服務(wù)器規(guī)模共有4.3萬；按國家分布情況來看，分布前三的分別是中國（3.9萬）、美國（4187）和加拿大（471）。經(jīng)CNVD秘書處進(jìn)行技術(shù)驗(yàn)證，受此漏洞影響的ThinkPHP網(wǎng)站比率約為12%，影響比例較高。

三、漏洞處置建議

?????? 目前，ThinkPHP廠商已發(fā)布新版本修復(fù)此漏洞，CNVD建議用戶立即升級(jí)至最新版本：

http://www.thinkphp.cn/down.html

附：參考鏈接：

https://github.com/top-think/framework/commit/4a4b5e64fa4c46f851b4004005bff5f3196de003

http://www.thinkphp.cn/down.html

<button id="428mg"></button>