KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-3129 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Laravel 是一个免费的开源 PHP Web 框架，旨在实现的Web软件的MVC架构。2021年1月13日，KnowSafe应急响应中心监控到国外某安全研究团队披露了 Laravel <= 8.4.2 存在远程代码执行漏洞。当Laravel开启了Debug模式时，由于Laravel自带的Ignition功能的某些接口存在过滤不严，攻击者可以发起恶意请求，通过构造恶意Log文件等方式触发Phar反序列化，从而造成远程代码执行，控制服务器。漏洞细节已在互联网公开。
影响范围
应用：laravel laravel（影响面 Up to (including) 8.4.2）
系统：alma_linux_8 exiv2（影响面 Up to (excluding) 0.27.4-5.el8）
系统：fedora_33 mingw-exiv2（影响面 Up to (excluding) 0.27.4-3.fc33）
系统：fedora_34 mingw-exiv2（影响面 Up to (excluding) 0.27.4-3.fc34）
系统：kylinos_aarch64_V10SP1 exiv2（影响面 Up to (excluding) 0.27.5-1.ky10）
系统：kylinos_aarch64_V10SP2 exiv2（影响面 Up to (excluding) 0.27.5-1.ky10）
系统：kylinos_loongarch64_V10SP1 exiv2（影响面 Up to (excluding) 0.27.5-1.a.ky10）
系统：kylinos_x86_64_V10SP1 exiv2（影响面 Up to (excluding) 0.27.5-1.ky10）
……另有 7 项受影响环境，详见官方公告
解决方案
安全版本
Laravel 框架 >= 8.4.3
facade ignition 组件 >= 2.5.2
安全建议
建议将 Laravel 框架升级至8.4.3及其以上版本，或者将 facade ignition组件升级至 2.5.2 及其以上版本。
参考信息
http://packetstormsecurity.com/files/162094/Ignition-2.5.1-Remote-Code-Execution.html
http://packetstormsecurity.com/files/165999/Ignition-Remote-Code-Execution.html
https://github.com/facade/ignition/pull/334
https://www.ambionics.io/blog/laravel-debug-rce
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-3129
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。