【安全通告】Laravel远程代码执行漏洞风险通告（CVE-2021-3129）
摘要：
尊敬的腾讯云用户，您好！
近日，腾讯云安全运营中心监测到，Laravel披露了出一个远程代码执行漏洞（漏洞编号CVE-2021-3129）。攻击者可利用此漏洞远程执行任意代码。
为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。
漏洞详情
Laravel 是一个免费的开源 PHP Web 框架，旨在实现的Web软件的MVC架构。
据相关描述，当Laravel<= 8.4.2 开启Debug模式时，由于Laravel自带的Ignition功能的某些接口存在过滤不严，攻击者可以发起恶意请求，通过构造恶意Log文件等方式触发Phar反序列化，从而造成远程代码执行，攻击者利用漏洞可以完全控制服务器。
风险等级
高
漏洞风险
攻击者可利用该漏洞，远程执行任意代码
影响版本
Laravel 框架 <= 8.4.2
facade ignition 组件 < 2.5.2
facade ignition 组件 < 2.5.2
安全版本
Laravel 框架 >= 8.4.3
facade ignition 组件 >= 2.5.2
facade ignition 组件 >= 2.5.2
修复建议
Laravel官方已发布安全版本，腾讯云安全建议您尽快升级到最新版本，避免相关安全风险。
【备注】：建议您在升级前做好数据备份工作，避免出现意外
腾讯云安全解决方案
- 腾讯T-Sec主机安全（云镜）漏洞库2021-1-14后的版本已支持检测Laravel远程代码执行漏洞（CVE-2021-3129）；
- 腾讯T-Sec云防火墙规则库2021-1-14之后的版本，已支持对Laravel远程代码执行漏洞利用的检测和拦截。腾讯云防火墙内置入侵防御功能，使用虚拟补丁机制防御最新的漏洞利用；
- 腾讯T-Sec高级威胁检测系统（御界）规则库2021-1-14之后的版本，已支持对Laravel远程代码执行漏洞利用的检测和拦截；
- 腾讯T-Sec Web应用防火墙（WAF）已支持防护 Laravel远程代码执行漏洞（CVE-2021-3129）。
漏洞参考
https://nvd.nist.gov/vuln/detail/CVE-2021-3129
https://github.com/facade/ignition/pull/334
