PT-2022-8311 · Unknown · Laravel Framework

Publicado 2022-05-14 · Atualizado 2024-11-26 · CVE-2019-9081

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Laravel Framework versão 5.7.x

Descrição

Existe uma vulnerabilidade de deserialização no componente Illuminate do Laravel Framework, que pode levar à execução remota de código se o conteúdo for controlável. Este problema está relacionado ao método destruct da classe PendingCommand em PendingCommand.php. A vulnerabilidade já foi explorada na prática, tendo sido descoberto um malware híbrido de cryptojacking, apelidado de “Lucifer”.

Recomendações

Para o Laravel Framework versão 5.7.x, considere atualizar para uma versão mais recente que inclua uma correção para este problema, já que não há solução alternativa específica disponível para esta versão. Como solução alternativa temporária, considere restringir o acesso à classe PendingCommand para minimizar o risco de exploração.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2019-9081

GHSA-PFG4-P438-P874

Produtos afetados

Laravel Framework

Referências · 7

• 🔥 https://laworigin.github.io/2019/02/21/laravelv5-7%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96rce · Exploit
• https://github.com/laravel/framework · Nota
• https://github.com/laravel/framework/discussions/40184 · Nota
• https://github.com/Laworigin/Laworigin.github.io/blob/master/2019/02/21/laravelv5-7%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96rce/index.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2019-9081 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-pfg4-p438-p874 · Aviso do Fabricante
• https://twitter.com/RFr0sty1/status/1861334185928966234 · Publicação no Twitter