【漏洞预警】Laravel远程代码执行漏洞（CVE-2021-43503 ）

 01

漏洞描述

Laravel是Laravel 团队（Laravel）的一个Web 应用程序框架。Laravel是一套简洁、优雅的PHP Web开发框架(PHP Web Framework)。Laravel是完全开源的。Laravel 有一个非常棒的的社区支持。Laravel代码本身的表现力和良好的文档使PHP程序编写令人愉快。所有代码都可以从Github上获取它可以让你从面条一样杂乱的代码中解脱出来；它可以帮你构建一个完美的网络APP，而且每行代码都可以简洁、富于表达力。

Laravel存在安全漏洞，该漏洞源于通过(1) RoutingPendingResourceRegistration.php中的 __destruct、(2)QueueCapsuleManager.php中的 __cal 和(3)中的反序列化弹出链__invoke在 mockerylibraryMockeryClosureWrapper.php中。

 02

漏洞危害

Laravel存在安全漏洞，当Laravel开启了Debug模式时，由于Laravel⾃带的Ignition组件的某些函数功能存在过滤不严的问题，导致攻击者可以发起恶意请求，构造恶意Log⽂件等⽅式触发Phar反序列化，造成远程代码执⾏，执⾏任意命令控制服务器。

 03

影响范围

Laravel Laravel 5.8.38

04

漏洞等级

   

高危

 06

修复方案

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/guoyanan1g/Laravel-vul/issues/2#issue-1045655892 

END

长按识别二维码，了解更多

原文始发于微信公众号（易东安全研究院）：【漏洞预警】Laravel远程代码执行漏洞（CVE-2021-43503 ）