ThinkPHP 存在反序列化漏洞-低调大师

ThinkPHP 存在反序列化漏洞

2023-02-09 357

漏洞描述

ThinkPHP 是一个PHP开发框架，使用面向对象的开发结构和MVC模式。

在受影响版本内存在反序列化漏洞，当应用代码中存在将用户输入的数据进行反序列化操作的端点时，如unserialize($input)，具有端点访问权限的攻击者可能利用此缺陷构造恶意payload进而执行任意系统命令。

漏洞名称	Thinkphp 存在反序列化漏洞
漏洞类型	反序列化
发现时间	2023-02-09
漏洞影响广度	一般
MPS编号	MPS-2022-65347
CVE编号	CVE-2022-45982
CNVD编号	-

影响范围

topthink/framework@[6.0.0, 6.0.13]

topthink/framework@[6.1.0, 6.1.1]

修复方案

topthink/framework暂未发布新版本，请关注官方通:https://github.com/top-think/framework/releases

topthink/framework暂未发布新版本，请关注官方通告:https://github.com/top-think/framework/releases

参考链接

https://www.oscs1024.com/hd/MPS-2022-65347

https://gist.github.com/Dar1in9s/aa87df679057db3bbdade360d77f8cca、 POC

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/227751

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Proxy-Go v12.8 发布，优化了 kcp 协议配置，提高成了连接功率和速度

Proxy 是 golang 实现的高性能 http、https、websocket、tcp、udp、socks5 代理服务器，支持正向代理、反向代理、透明代理、内网穿透、TCP/UDP 端口映射、SSH 中转、TLS 加密传输、协议转换、DNS 防污染智能代理、前置 CDN/Nginx 反代、代理连接重定向、API 动态调用上级代理、限速限连接数。提供全平台的命令行版本，友好易用的 Windows&Linux&macOS 控制面板，强大的安卓版。更新内容 1、tcp代理新增tcps加密支持，可以设置加密方法和加密密码，详细说说明可以查看帮助命令：proxy help tcp。 2、优化了kcp协议配置，提高成了连接功率和速度。更新： v10.7 及以后版本，执行：proxy update，即可完成快速更新到最新版。特色功能链式代理，程序本身可以作为一级代理，如果设置了上级代理那么可以作为二级代理，乃至 N 级代理。通讯加密，如果程序不是一级代理，而且上级代理也是本程序，那么可以加密和上级代理之间的通讯，采用底层 tls 高强度加密，安全无特征。智能 HTT...

2023-02-09

463

国内外的用户都在使用云原生技术来提高应用的开发效率和可管理性，不少用户运用开源 Harbor 制品仓库，管理敏捷软件供应链中云原生应用的镜像，包括镜像存储、镜像扫描和镜像签名等功能。 Harbor 已经提供了一些高级的安全功能，例如，对镜像进行扫描，以发现潜在的安全问题。Harbor 的镜像扫描功能本质上属于静态扫描，即通过 Trivy，Clair，雅客云 (Arksec) 等漏洞扫描器（scanner），对镜像进行由事件触发或周期性的扫描。静态扫描可检测到镜像文件中潜在的威胁，但部分有风险的镜像仍有可能通过扫描器的检测，并被部署到 Kubernetes 集群中，从而引入了运行时的风险。举个例子，Harbor 对某个镜像进行了扫描，检测结果是该镜像达到一定的安全级别，允许它上线运行。过了一段时间，有个新的 CVE 漏洞被发现，恰好该镜像包含了这个漏洞，在漏洞修复前 Harbor 不再容许该镜像上线。但是对已经处于运行态的镜像来说，Harbor 则无能为力。鉴于 Harbor 重点在云原生应用的静态安全保护，面对日趋严重的 “供应链攻击” 的风险，用户需要提高另一方面的安全能力，即动...

2023-02-09

405

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。