漏洞描述:
Laravel是一个基于PHP的开源Web应用框架,它提供了一系列工具和特性,旨在简化Web应用程序的开发过程,Laravel中修复了一个环境变量注入漏洞（CVE-2024-52301）,该漏洞的CVSS评分为8.7,Laravel框架受影响版本中,由于框架在非CLI模式下处理请求时未正确隔离PHP的argv参数,当register_argc_argv PHP指令被设置为on时,攻击者可以通过向任意URL发送附带特制查询字符串的请求,来更改框架在请求处理时使用的环境配置,成功利用该漏洞可能导致敏感信息泄露、权限提升、应用崩溃或配置被篡改等。
影响范围:
Laravel < 6.20.45
7.0.0 <= Laravel < 7.30.7
8.0.0 <= Laravel < 8.83.28
9.0.0 <= Laravel < 9.52.17
10.0.0 <= Laravel < 10.48.23
11.0.0 <= Laravel < 11.31.0
安全措施:
升级版本
目前该漏洞已经修复，受影响用户可升级到Laravel 6.20.45、7.30.7、8.83.28、9.52.17、10.48.23、11.31.0或更高版本
下载链接:
https://github.com/laravel/framework/tags
临时措施:
在生产环境中禁用register_argc_argv,以减少攻击面。
对重要应用启用Web应用防火墙（WAF）以检测和阻止恶意请求
