ThinkPHP漏洞说明

  • 作者:新网
  • 来源:新网
  • 2019-02-14 17:43:44

据北京网络与信息安全信息通报中心通报,近日,ThinkPHP官方(ThinkPHP是一个快速、兼容而且简单的轻量级国产PHP开发框架)发布安全更新,用于修复一个严重的远程代码执行漏洞。...

尊敬的用户您好!

  据北京网络与信息安全信息通报中心通报,近日,ThinkPHP官方(ThinkPHP是一个快速、兼容而且简单的轻量级国产PHP开发框架)发布安全更新,用于修复一个严重的远程代码执行漏洞。此次版本更新主要涉及一个安全更新,由于框架对控制器名没有进行足够的检测,会导致在没有开启强制路由的情况下引发黑客执行远程恶意代码,从而获取权限。

  一、 基本情况

  远程代码执行漏洞是用户通过浏览器提交执行命令,由于服务器端没有针对执行函数做过滤,导致在没有指定绝对路径的情况下就执行命令,可能会允许攻击者通过改变 $PATH或程序执行环境的其他方面来执行一个恶意构造的代码。

  经过对官方补丁分析,发现该程序未对控制器进行过滤,导致攻击者可以通过引入\符号来调用任意类方法,从而执行任意命令。

  二、影响范围

  ThinkPHP5.0

  ThinkPHP5.1

  三、 网络安全提示

  针对该情况,新网提示广大客户及时做好以下三方面的工作:

  1)及时进行更新升级。目前,ThinkPHP官方已经发布新版本修复了上述漏洞,建议使用ThinkPHP框架的用户及时升级进行防护,具体升级方法详见ThinkPHP官网。

  2)开展自查。对信息系统开展自查,及时进行问题清零,对重要的数据、文件进行定期备份。

  3)加强漏洞监测。

  附:官方修复办法:https://blog.thinkphp.cn/869075

免责声明:本文内容由互联网用户自发贡献自行上传,本网站不拥有所有权,也不承认相关法律责任。如果您发现本社区中有涉嫌抄袭的内容,请发送邮件至:operations@xinnet.com进行举报,并提供相关证据,一经查实,本站将立刻删除涉嫌侵权内容。

相关文章

增值电信业务经营许可证:B1-20140435 京B2-20070152 域名注册服务批文号:信部电函[2005]263号 京ICP证000012
 京公网安备11030102000056号 京ICP备09061941号-4
Copyright©1993-2019 北京新网数码信息技术有限公司 版权所有