El equipo de seguridad Ambionics descubrió una vulnerabilidad de ejecución remota de código presente en el framework PHP Laravel
AS-011-2021
Fecha: 25/Enero/2021
Resumen:
El equipo de seguridad Ambionics descubrió una vulnerabilidad de ejecución remota de código presente en el framework PHP Laravel en las versiones 8.4.2 o inferiores.
Para lograr la explotación de la vulnerabilidad, la aplicación de Laravel debe tener activa la depuración y se debe conocer la ubicación del archivo de log de la misma.
La vulnerabilidad se genera debido a que el componente Ignition <= 2.5.1, requerido por el framework, no parsea adecuadamente las solicitudes y permite escribir código malicioso en el log, para luego ser ejecutado con Phar.
Al momento se conoce que ya existe un exploit que permitiría utilizar esta vulnerabilidad para inyectar código remoto.
Se recomienda que toda aplicación que trabaje en ambientes de producción tenga desactivado el modo debug. Los ambientes de desarrollo deben estar aislados para evitar la explotación. Además, es importante actualizar los componentes de Laravel una vez que se incluya la nueva versión de Ignition.
Referencias:
https://www.ambionics.io/blog/laravel-debug-rce
