آسیب‌پذیری که از نوع RCE است و با شناسه CVE-2021-3129 رهگیری می‌شود دارای شدت خطر CVSS9.8 بوده که به مهاجم بدون احراز هویت این امکان را می‌دهد تا کد دلخواه خود را از راه دور اجرا نماید.
این آسیب‌پذیری بحرانی از نسخه‌های قدیمی‌تر ۲.۵.۲ Ignition نشأت می‌گیرد که یک Error page برای فریمورک Laravel می‌باشد و در صورت فعال بودن قابلیت Debug mode بر روی فریمورک، مهاجم می‌تواند به راحتی از آن سوءاستفاده نماید.
تصویر زیر Error page آسیب‌پذیر در زمان فعال بودن قابلیت Debug mode را نشان می‌دهد.
برای تشخیص نسخه فریمورک مورد استفاده
از طریق CLI:
از طریق بررسی فایل به آدرس فایل
./vendor/laravel/framework/src/Illuminate/Foundation/Application.php
در پروژه laravel مربوطه
$ vim ./vendor/laravel/framework/src/Illuminate/Foundation/Application.php
نسخه‌های Laravel پایین‌تر از نسخه ۸.۴.۲ و نسخه‌های Ignition پایین‌تر از نسخه ۲.۵.۲ از نسخه‌های آسیب‌پذیر هستند.
آخرین وصله امنیتی به طور رسمی منتشر شده است.
به مدیران مربوطه توصیه می‌شود که هرچه سریع‌تر فریمورک Laravel خود را به نسخه ۸.۴.۳ و یا مولفه Façade Ignition خود را به نسخه بالاتر از ۲.۵.۲ ارتقا دهند.
همواره توصیه می‌شود که در حالت production قابلیت Debug mode غیرفعال باشد اما به منظور راه‌حل موقت (تا زمان نصب وصله امنیتی) اگر debug mode فعال است توصیه می‌شود که غیرفعال شود.
یک نظر