FusionAuth远程代码执行缝隙风险公告

颁布功夫 2020-02-04

缝隙编号和级别


CVE编号：：CVE-2020-7799，，，危险级别：：高危，，，CVSS分值：：官方未评定


影响版本


Apache FusionAuth <= 1.10


缝隙概述


近日，，，Apache FusionAuth颁布新版本修复了一个远程代码执行缝隙。。发此刻FusionAuth中经过身份验证的用户能够编纂电子邮件模板(Home->Settings->Email Templates)或主题(Home->Settings->Themes)，，，从而通过处置自界说模板的Apache FreeMarker引擎中的freemarker.template.utility.Execute在底层操作系统上执行肆意号令。。


FusionAuth是现代的接见治理开源利用法式，，，能够与多种技术和平台集成。�？？Ｄ芄煌ü卫硪潜戆逡远嘀址绞脚渲煤妥越缢礔usionAuth，，，为任何利用法式提供身份验证、、授权和用户治理 ；；由于使用Apache FreeMarker模板引擎，，，且未对用户输入数据进行过滤，，，此缝隙将对服务器安全造成严重威胁。。


缝隙验证


EXP：：https://cxsecurity.com/issue/WLB-2020010208。。


修复建议


目前厂商已颁布新版本FusionAuth 1.11修复缝隙，，，受影响的用户请尽快更新升级进行防护：：https://fusionauth.io/docs/v1/tech/installation-guide/upgrade。。


参考链接


https://lab.mediaservice.net/advisory/2020-03-fusionauth.txt