【漏洞通告】Laravel远程代码执行漏洞CVE-2021-43503

Laravel 是一套 Web 应用开发框架，它具有富于表达性且简洁的语法，可以提供验证（authentication）、路由（routing）、session 和缓存（caching）等开发过程中经常用到的工具或功能。

2022年5月12日，深信服安全团队监测到一则 Laravel 组件存在远程命令执行漏洞的信息，漏洞编号：CVE-2021-43503、CNVD-2022-36040，漏洞威胁等级：严重。

该漏洞是由于 Laravel 5.8.38 版本以下的 PendingResourceRegistration.php 页面存在反序列化漏洞，攻击者可利用该漏洞在未授权情况下，构造恶意数据进行远程代码执行攻击，最终获取服务器最高权限等操作。

Laravel 是一套 Web 应用开发框架，它具有富于表达性且简洁的语法。全球有上万的站点采用 Laravel，可能受漏洞影响的资产广泛分布于世界各地，国内省份中，浙江、广东、山东、北京、上海等省市接近70%，涉及用户量过多，导致漏洞影响力较大。

目前受影响的 Laravel 版本：

Laravel  ≤  5.8.38

方法一：执行以下 php 命令，查看组件版本信息

php artisan --version

方法二：查看 vendorlaravelframeworksrcIlluminateFoundationApplication.php 页面中常量 version，查看组件版本信息

方法三：查看 composer.json 文件，查看组件版本信息

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

https://github.com/laravel/laravel

关闭 DEBUG 模式。

1.安全监测
支持对 Laravel 远程代码执行漏洞 CVE-2021-43503 的监测，可依据流量收集实时监控业务场景中的受影响资产情况，快速检查受影响范围，相关产品及服务如下：
【深信服安全感知管理平台SIP】预计2022年5月14日发布解决方案。

【深信服安全托管服务MSS】预计2022年5月14日发布解决方案。

2.安全防护
支持对 Laravel 远程代码执行漏洞 CVE-2021-43503 的防御，可阻断攻击者针对该事件的入侵行为，相关产品及服务如下：
【深信服下一代防火墙AF】预计2022年5月14日发布解决方案。

【深信服Web应用防火墙WAF】预计2022年5月14日发布解决方案。

【深信服安全托管服务MSS】预计2022年5月14日发布解决方案。

https://github.com/guoyanan1g/Laravel-vul/issues/2#issue-1045655892

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。