FusionAuth远程代码执行缝隙风险公告

颁布功夫 2020-02-04

缝隙编号和级别


CVE编号：CVE-2020-7799，危险级别：高危，CVSS分值：官方未评定


影响版本


Apache FusionAuth <= 1.10


缝隙概述


近日，Apache FusionAuth颁布新版本建复了一个远程代码执行缝隙。发此刻FusionAuth中经过身份验证的用户能够编纂电子邮件模板(Home->Settings->Email Templates)或主题(Home->Settings->Themes)，从而通过处置自界说模板的Apache FreeMarker引擎中的freemarker.template.utility.Execute在底层操作系统上执行肆意号令。


FusionAuth是现代的接见治理开源利用法式，能够与多种技术和平台集成�Ｄ芄煌ü卫硪潜戆逡远嘀址绞脚渲煤妥越缢礔usionAuth，为任何利用法式提供身份验证、授权和用户治理；由于使用Apache FreeMarker模板引擎，且未对用户输入数据进行过滤，此缝隙将对服务器安全造成严沉威胁。


缝隙验证


EXP：https://cxsecurity.com/issue/WLB-2020010208。


建复建议


目前厂商已颁布新版本FusionAuth 1.11建复缝隙，受影响的用户请尽快更新升级进行防护：https://fusionauth.io/docs/v1/tech/installation-guide/upgrade。


参考链接


https://lab.mediaservice.net/advisory/2020-03-fusionauth.txt