Laravel Debug mode 远程代码执行

摘要

Laravel 是一个免费的开源 PHP Web 框架，旨在实现的Web软件的MVC架构。

0x01 简介

Laravel 是一个免费的开源 PHP Web 框架，旨在实现的Web软件的MVC架构。

近日，国外某安全研究团队披露了 Laravel <= 8.4.2 存在远程代码执行漏洞。当Laravel开启了Debug模式时，由于Laravel自带的Ignition功能的某些接口存在过滤不严，攻击者可以发起恶意请求，通过构造恶意Log文件等方式触发Phar反序列化，从而造成远程代码执行，控制服务器。漏洞细节已在互联网公开。建议相关用户尽快采取安全措施阻止漏洞攻击。

0x02 漏洞编号

0x03 影响版本

0x04 漏洞复现

环境搭建：

启动：

点击Generate app key生成应用程序密钥

EXP

使用该exp需要phpggc环境，需要放在exp同目录下运行。

phpggc需要有执行权限

修改exp中url地址：

读取 /etc/passwd

0x05 修复建议

1. 临时修复方案：若业务环境允许，使用白名单限制相关web项目的访问来降低风险。
2. 通用修复建议：建议将 Laravel 框架升级至8.4.3及其以上版本，或者将 facade ignition组件升级至 2.5.2 及其以上版本。