一、漏洞概述
CVE ID
|
暂无
|
发现时间
|
2023-08-16
|
类 型
|
模板注入
|
等 级
|
高危
|
攻击向量
|
网络
|
所需权限
|
无
|
攻击复杂度
|
低
|
用户交互
|
无
|
PoC/EXP
|
未知
|
在野利用
|
已发现
|
JeecgBoot是一款基于代码生成器的低代码开发平台。
8月16日,启明星辰VSRC监测到JeecgBoot修复了Freemarker 模板注入漏洞(暂无CVE-ID),目前该漏洞已发现被利用,受影响用户可尽快升级相关底层依赖版本和源码。
由于受影响的JeecgBoot中可通过Freemarker 模板注入导致远程命令执行,远程威胁者可利用该漏洞调用在系统上执行任意命令。
二、影响范围
minidao-spring-boot-starter版本 < 1.9.2
jimureport-spring-boot-starter版本 < 1.6.1
三、安全措施
3.1 升级版本
minidao-spring-boot-starter 版本 >= 1.9.2
jimureport-spring-boot-starter 版本 >= 1.6.1
https://github.com/jeecgboot
3.2 临时措施
如果jeecgboot 版本很老,可以采用重写 freemarker 的类 src/main/java/freemarker/template/Configuration.java 方式,在实例化 Configuration 方法里面默认加入:
//freemarker模板注入问题 禁止解析ObjectConstructor,Execute和freemarker.template.utility.JythonRuntime。
this.setNewBuiltinClassResolver(TemplateClassResolver.SAFER_RESOLVER);
3.3 通用建议
定期更新系统补丁,减少系统漏洞,提升服务器的安全性。
加强系统和网络的访问控制,修改防火墙策略,关闭非必要的应用端口或服务,减少将危险服务(如SSH、RDP等)暴露到公网,减少攻击面。
加强系统用户和权限管理,启用多因素认证机制和最小权限原则,用户和软件权限应保持在最低限度。
3.4 参考链接
https://my.oschina.net/jeecg/blog/10096283
https://my.oschina.net/jeecg/blog/10096392
http://jimureport.com/doc/log
https://github.com/jeecgboot/jeecg-boot/commit/acb48179ab00e167747fa4a3e4fd3b94c78aeda5
原文始发于微信公众号(维他命安全):【漏洞通告】JeecgBoot Freemarker模板注入漏洞
评论