KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2016-3957 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
web2py是一套使用Python编写的开源Web框架，它支持快速开发基于数据库驱动的Web应用程序。
web2py 2.14.2之前版本中的gluon/utils.py文件的‘secure_load’函数存在安全漏洞，该漏洞源于程序使用pickle.loads反序列化被存储在cookies中的会话信息。远程攻击者可利用该漏洞执行任意代码。
影响范围
应用：web2py web2py（影响面 Up to (excluding) 2.14.2）
系统：ubuntu_16.04 web2py（影响面 Up to (excluding) 2.12.3-1ubuntu0.1）
系统：ubuntu_16.04.7_lts web2py（影响面 Up to (excluding) 2.12.3-1ubuntu0.1）
解决方案
目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
http://www.web2py.com/
参考信息
https://devco.re/blog/2017/01/03/web2py-unserialize-code-execution-CVE-2016-3957/
https://github.com/web2py/web2py/blob/R-2.14.1/gluon/utils.py#L200
https://usn.ubuntu.com/4030-1/
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。