FusionAuth远程代码执行缝隙风险公告

颁布功夫 2020-02-04

缝隙编号和级别


CVE编号：CVE-2020-7799， ，，，，， ，，危险级别：高危， ，，，，， ，，CVSS分值：官方未评定


影响版本


Apache FusionAuth <= 1.10


缝隙概述


近日， ，，，，， ，，Apache FusionAuth颁布新版本建复了一个远程代码执行缝隙 。。。 。。发此刻FusionAuth中经过身份验证的用户能够编纂电子邮件模板(Home->Settings->Email Templates)或主题(Home->Settings->Themes)， ，，，，， ，，从而通过处置自界说模板的Apache FreeMarker引擎中的freemarker.template.utility.Execute在底层操作系统上执行肆意号令 。。。 。。


FusionAuth是现代的接见治理开源利用法式， ，，，，， ，，能够与多种技术和平台集成 。。。 。。浚�？？Ｄ芄煌ü卫硪潜戆逡远嘀址绞脚渲煤妥越缢礔usionAuth， ，，，，， ，，为任何利用法式提供身份验证、授权和用户治理 ；；；；；；；由于使用Apache FreeMarker模板引擎， ，，，，， ，，且未对用户输入数据进行过滤， ，，，，， ，，此缝隙将对服务器安全造成严沉威胁 。。。 。。


缝隙验证


EXP：https://cxsecurity.com/issue/WLB-2020010208 。。。 。。


建复建议


目前厂商已颁布新版本FusionAuth 1.11建复缝隙， ，，，，， ，，受影响的用户请尽快更新升级进行防护：https://fusionauth.io/docs/v1/tech/installation-guide/upgrade 。。。 。。


参考链接


https://lab.mediaservice.net/advisory/2020-03-fusionauth.txt