FusionAuth远程代码执行误差危害通告

宣布时间 2020-02-04

误差编号和级别


CVE编号：CVE-2020-7799，，，危险级别：高危，，，CVSS分值：官方未评定


影响版本


Apache FusionAuth <= 1.10


误差概述


克日，，，Apache FusionAuth宣布新版本修复了一个远程代码执行误差 。。。。。发明在FusionAuth中经由身份验证的用户可以编辑电子邮件模板(Home->Settings->Email Templates)或主题(Home->Settings->Themes)，，，从而通过处置惩罚自界说模板的Apache FreeMarker引擎中的freemarker.template.utility.Execute在底层操作系统上执行恣意下令 。。。。。


FusionAuth是现代的会见治理开源应用程序，，，可以与多种手艺清静台集成 。。。。�？？？？？梢酝ü卫硪潜戆逡远嘀址椒ㄉ柚煤妥越缢礔usionAuth，，，为任何应用程序提供身份验证、授权和用户治理；；；； ；；由于使用Apache FreeMarker模板引擎，，，且未对用户输入数据举行过滤，，，此误差将对效劳器清静造成严重威胁 。。。。。


误差验证


EXP：https://cxsecurity.com/issue/WLB-2020010208 。。。。。


修复建议


现在厂商已宣布新版本FusionAuth 1.11修复误差，，，受影响的用户请尽快更新升级举行防护：https://fusionauth.io/docs/v1/tech/installation-guide/upgrade 。。。。。


参考链接


https://lab.mediaservice.net/advisory/2020-03-fusionauth.txt