跳转至

CVE-2020-15148 Yii框架反序列化远程命令执行

简介

如果在使用yii框架,并且在用户可以控制的输入处调用了unserialize()并允许特殊字符的情况下,会受到反序列化远程命令命令执行漏洞攻击。 该漏洞只是php 反序列化的执行链,必须要配合unserialize函数才可以达到任意代码执行的危害。 该反序列化执行链在今年8月初已经公开,建议使用yii框架的同学排查

影响范围

Yii2 <2.0.38

修复方案

目前官方已经禁止BatchQueryResult类被反序列化

exp

exp.txt CVE-2020-15148 Yii框架反序列化RCE利用链

参考链接

https://github.com/yiisoft/yii2/commit/9abccb96d7c5ddb569f92d1a748f50ee9b3e2b99 https://xz.aliyun.com/t/8082#toc-8 https://github.com/AFKL-CUIT/phpggc/


最后更新: 2021-03-24