【威脅通告】FusionAuth遠程命令執行（CVE-2020-7799）漏洞威脅通告
- 2020 年 2 月 24 日
- 筆記
通告編號:NS-2020-0004
2020-02-03
|
TAG： |
Apache Freemarker、FusionAuth、遠程命令執行、CVE-2020-7799 |
|---|---|
|
漏洞危害： |
使用有效賬號登陸後，攻擊者利用此漏洞，可造成遠程命令執行。 |
|
版本： |
1.0 |
1
漏洞概述
北京時間1月28日，NVD發佈了一個FusionAuth存在Apache Freemarker模板遠程命令執行（CVE-2020-7799）的漏洞；發現在FusionAuth中經過身份驗證的用戶可以編輯電子郵件模板(Home->Settings->Email Templates)或主題(Home->Settings->Themes)，從而通過處理自定義模板的Apache FreeMarker引擎中的freemarker.template.utility.Execute在底層操作系統上執行任意命令。
FusionAuth是現代的訪問管理開源應用程序，可以與多種技術和平台集成。可以通過管理儀錶板以多種方式配置和自定義FusionAuth，為任何應用程序提供身份驗證、授權和用戶管理；由於使用Apache FreeMarker模板引擎，且未對用戶輸入數據進行過濾，此漏洞將對服務器安全造成嚴重威脅，目前PoC已公開，請相關用戶及時進行防護。
參考鏈接：
https://nvd.nist.gov/vuln/detail/CVE-2020-7799
SEE MORE →
2影響範圍
受影響版本
- FusionAuth <= 1.10.1
不受影響版本
- FusionAuth >= 1.11
3漏洞檢測
3.1 版本檢測
相關用戶可通過版本檢測的方法判斷當前應用是否存在風險。
在web管理頁面左下方可查看當前所使用的FusionAuth版本：
若當前版本在受影響範圍內，則可能存在安全風險。
4漏洞防護
4.1 官方升級
4.1.1 快速升級
選擇快速安裝的用戶可以使用如下方法升級FusionAuth到最新版本：
Linux：
使用ZIP包方式安裝的用戶，首先進入應用的安裝目錄下，停止當前程序：
|
/bin/shutdown.sh |
|---|
進入安裝目錄的上級目錄（例：安裝目錄為/usr/local/fusionauth，則進入/usr/local/目錄），執行以下命令進行升級：
|
sh -c "curl -fsSL https://raw.githubusercontent.com/FusionAuth/fusionauth-install/master/install.sh | sh -s – -z" |
|---|
進入安裝目錄，啟動程序：
|
/bin/startup.sh |
|---|
使用DEB或RPM包安裝的用戶，執行以下命令進行升級：
|
sh -c "curl -fsSL https://raw.githubusercontent.com/FusionAuth/fusionauth-install/master/install.sh | sh" |
|---|
啟動程序：
|
sudo service fusionauth-search startsudo service fusionauth-app start |
|---|
Windows：
進入安裝目錄下，停止當前程序：
|
net stop FusionAuthAppnet stop FusionAuthSearch |
|---|
安裝最新版本：
|
iex (new-object net.webclient).downloadstring('https://raw.githubusercontent.com/FusionAuth/fusionauth-install/master/install.ps1') |
|---|
啟動程序：
|
binstartup.bat |
|---|
詳細升級過程可參考官方的升級文檔:
https://fusionauth.io/docs/v1/tech/installation-guide/fast-path
4.1.2 手動升級
選擇手動安裝的用戶可以使用如下方法升級FusionAuth到最新版本：
Linux：
進入安裝目錄，停止程序並進行卸載：
|
# 停止程序/bin/shutdown.sh# 卸載rm -rf ./fusionauth-apprm -rf ./fusionauth-searchrm -rf ./bin |
|---|
訪問以下鏈接下載最新的程序包（1.14.0版）：
https://storage.googleapis.com/inversoft_products_j098230498/products/fusionauth/1.14.0/fusionauth-app-1.14.0.zip
https://storage.googleapis.com/inversoft_products_j098230498/products/fusionauth/1.14.0/fusionauth-search-1.14.0.zip
進入安裝目錄，解壓安裝包：
|
unzip -nq new-fusionauth-app.zipunzip -nq new-fusionauth-search.zip |
|---|
啟動程序：
|
/bin/startup.sh |
|---|
Windows：
進入程序安裝目錄，停止程序並進行卸載：
|
# 停止程序net stop FusionAuthAppnet stop FusionAuthSearch# 卸載程序cd fusionauthfusionauth-appapache-tomcatbinFusionAuthApp.exe /uninstallcd fusionauthfusionauth-searchelasticsearchbinFusionAuthSearch.exe /uninstall# 移除原目錄cd fusionauthmove fusionauth-app fusionauth-app-oldmove fusionauth-search fusionauth-search-old |
|---|
訪問以下鏈接下載最新的程序包（1.14.0版）：
https://storage.googleapis.com/inversoft_products_j098230498/products/fusionauth/1.14.0/fusionauth-app-1.14.0.zip
https://storage.googleapis.com/inversoft_products_j098230498/products/fusionauth/1.14.0/fusionauth-search-1.14.0.zip
將上述壓縮包解壓後，進行安裝：
|
# 安裝cd fusionauthfusionauth-appapache-tomcatbinFusionAuthApp.exe /installcd fusionauthfusionauth-searchelasticsearchbinFusionAuthSearch.exe /install# 啟動程序net start FusionAuthSearchnet start FusionAuthApp |
|---|
詳細升級過程可參考官方升級文檔：
https://fusionauth.io/docs/v1/tech/installation-guide/upgrade
END
作者：綠盟科技安全服務部
聲明
本安全公告僅用來描述可能存在的安全問題，綠盟科技不為此安全公告提供任何保證或承諾。由於傳播、利用此安全公告所提供的信息而造成的任何直接或者間接的後果及損失，均由使用者本人負責，綠盟科技以及安全公告作者不為此承擔任何責任。
綠盟科技擁有對此安全公告的修改和解釋權。如欲轉載或傳播此安全公告，必須保證此安全公告的完整性，包括版權聲明等全部內容。未經綠盟科技允許，不得任意修改或者增減此安全公告內容，不得以任何方式將其用於商業目的。
關於綠盟科技
北京神州綠盟信息安全科技股份有限公司 （簡稱綠盟科技）成立於2000年4月，總部位於北京。在國內外設有30多個分支機構，為政府、運營商、金融、能源、互聯網以及教育、醫療等行業用戶，提供具有核心競爭力的安全產品及解決方案，幫助客戶實現業務的安全順暢運行。
基於多年的安全攻防研究，綠盟科技在網絡及終端安全、互聯網基礎安全、合規及安全管理等領域，為客戶提供入侵檢測/防護、抗拒絕服務攻擊、遠程安全評估以及Web安全防護等產品以及專業安全服務。
