【漏洞通告】ThinkPHP远程代码执行漏洞

admin 2023年1月7日16:11:08安全漏洞评论13 views1515字阅读5分3秒阅读模式
【漏洞通告】ThinkPHP远程代码执行漏洞

漏洞名称:

ThinkPHP远程代码执行漏洞

组件名称:

ThinkPHP

影响范围:

6.0.1 < ThinkPHP ≤ 6.0.13

5.0.0 < ThinkPHP ≤ 5.0.12

5.1.0 < ThinkPHP ≤ 5.1.8

漏洞类型:

远程代码执行

利用条件:

1、用户认证:不需要

2、前置条件:开启多语言功能

3、触发方式:远程

综合评价:

<综合评定利用难度>:中等。

<综合评定威胁等级>:高危,能造成远程代码执行。

官方解决方案:

已发布


漏洞分析

【漏洞通告】ThinkPHP远程代码执行漏洞

组件介绍

ThinkPHP是一个快速、兼容而且简单的轻量级国产PHP开发框架,诞生于2006年初,原名FCS,2007年元旦正式更名为ThinkPHP,遵循Apache 2开源协议发布,从Struts结构移植过来并做了改进和完善,同时也借鉴了国外很多优秀的框架和模式,使用面向对象的开发结构和MVC模式,融合了Struts的思想和TagLib(标签库)、RoR的ORM映射和ActiveRecord模式。

【漏洞通告】ThinkPHP远程代码执行漏洞

漏洞简介

2022年12月9日,深信服安全团队监测到一则ThinkPHP组件存在远程代码执行漏洞的信息,漏洞威胁等级:高危。


该漏洞是由于ThinkPHP开启了多语言功能,攻击者可利用该漏洞在未授权的情况下,构造恶意数据进行远程代码执行攻击,最终获取服务器最高权限。

影响范围

目前受影响的ThinkPHP版本:

6.0.1 < ThinkPHP ≤ 6.0.13

5.0.0 < ThinkPHP ≤ 5.0.12

5.1.0 < ThinkPHP ≤ 5.1.8

解决方案

【漏洞通告】ThinkPHP远程代码执行漏洞

官方修复建议

当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://github.com/top-think/framework/tags

【漏洞通告】ThinkPHP远程代码执行漏洞

深信服解决方案

1.主动检测
支持对ThinkPHP远程代码执行漏洞的主动检测,可批量快速检出业务场景中该事件的受影响资产情况,相关产品如下:

【深信服云镜YJ】预计2022年12月15日发布检测方案。

【深信服漏洞评估工具TSS】预计2022年12月15日发布检测方案。

【深信服主机安全检测响应平台CWPP】预计2022年12月15日发布检测方案。

【深信服安全托管服务MSS】预计2022年12月15日发布检测方案。
【深信服安全检测与响应平台XDR】预计2022年12月15日发布检测方案。

2.安全监测
支持对ThinkPHP远程代码执行漏洞的监测,可依据流量收集实时监控业务场景中的受影响资产情况,快速检查受影响范围,相关产品及服务如下:

【深信服安全感知管理平台SIP】预计2022年12月12日发布检测方案。

【深信服安全托管服务MSS】预计2022年12月12日发布检测方案。

【深信服安全检测与响应平台XDR】预计2022年12月12日发布检测方案。

3.安全防护
支持对ThinkPHP远程代码执行漏洞的防御,可阻断攻击者针对该事件的入侵行为,相关产品及服务如下:

【深信服下一代防火墙AF】预计2022年12月12日发布防护方案。

【深信服Web应用防火墙WAF】预计2022年12月12日发布防护方案。
【深信服安全托管服务MSS】预计2022年12月12日发布防护方案。
【深信服安全检测与响应平台XDR】预计2022年12月12日发布防护方案。

参考链接

https://blog.thinkphp.cn/3078655

时间轴


2022/12/9

深信服监测到ThinkPHP远程代码执行漏洞信息。

2022/12/9

深信服千里目安全技术中心发布漏洞通告。


点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

【漏洞通告】ThinkPHP远程代码执行漏洞


【漏洞通告】ThinkPHP远程代码执行漏洞



原文始发于微信公众号(深信服千里目安全技术中心):【漏洞通告】ThinkPHP远程代码执行漏洞

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月7日16:11:08
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【漏洞通告】ThinkPHP远程代码执行漏洞 http://cn-sec.com/archives/1455704.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: