? ? ? ?ThinkPHP是為了簡化企業級應用開發和敏捷WEB應用開發而誕生的開源輕量級PHP框架，是國內一種開源免費的，快速、簡單的面向對象的輕量級PHP開發框架，下面南昌網絡公司百恒科技小編來跟大家聊一下關于ThinkPHP開發框架遠程代碼執行漏洞的通告。

? ? ? ?一、 概述

? ? ? ?我中心技術支撐單位“奇安信”近日監測到 ThinkPHP 存在遠程代碼執行漏洞（QVD-2022-46174）, 當 ThinkPHP 開啟了多語言功能時，未經身份驗證的遠程攻擊者可以通過lang參數和目錄穿越實現文件包含，當存在其他擴展模塊如 pear 擴展時，攻擊者可進一步利用文件包含實現遠程代碼執行，從而控制并獲取目標系統。目前，已成功復現該漏洞，鑒于 ThinkPHP 廣泛應用于我省企業的WEB應用開發，因此影響范圍較廣，危害較大，請各行業重點部門、開發單位盡快自查相關使用情況，及時更新至安全版本，以防遭受黑客攻擊。

? ? ? ?ThinkPHP 是國內一種開源免費的，快速、簡單的面向對象的輕量級PHP開發框架，是為了敏捷WEB應用開發和簡化企業應用開發而誕生的，同時遵循Apache2 開源許可協議發布，意味著可以免費使用 ThinkPHP，允許把基于ThinkPHP 開發的應用開源或商業產品發布和銷售。

? ? ? ?二、漏洞詳情

? ? ? ?當 ThinkPHP 開啟了多語言功能時，攻擊者可以通過lang參數和目錄穿越實現文件包含，當存在其他擴展模塊如 pear 擴展時，攻擊者可進一步利用文件包含實現遠程代碼執行。

? ? ? ?漏洞名稱：ThinkPHP 遠程代碼執行漏洞

? ? ? ?漏洞編號：QVD-2022-46174

? ? ? ?危害等級：高?

? ? ? ?三、影響范圍?

? ? ? ?1、受影響版本

? ? ? ?·? 6.0.1 <= ThinkPHP <= 6.0.13

? ? ? ?·? ThinkPHP 5.0.x

? ? ? ?· ThinkPHP 5.1.x

? ? ? ?2、安全版本

? ? ? ?·? ThinkPHP >= 6.0.14

? ? ? ?·? ThinkPHP >= 5.1.42ThinkPHP 5.1.x

? ? ? ?四、解決方案

? ? ? ?目前，ThinkPHP 官方已發布安全版本修復漏洞，根據影響范圍中的信息，可自行排查并升級到安全版本。

? ? ? ?1、更新鏈接：
? ? ? ?https://github.com/top-think/framework/releases/tag/v6.0.14

? ? ? ?2、自查方案：

? ? ? ?【ThinkPHP 6】
? ? ? ?打開app/middleware.php，如果 thinkmiddlewareLoadLangPack::class 沒有注釋，代表著受此漏洞影響。

? ? ? ?【ThinkPHP 5】
? ? ? ?打開config/app.php，如果 'lang_switch_on' 為 true，代表著受此漏洞影響。

? ? ? ?3、緩解措施：
? ? ? ?ThinkPHP默認關閉多語言功能，如果開啟了該功能可以按照下面方法關閉。
? ? ? ?【ThinkPHP 6】
? ? ? ?打開app/middleware.php，將thinkmiddlewareLoadLangPack::class這行注釋掉。

? ? ? ?【ThinkPHP 5】
? ? ? ?打開config/app.php，將'lang_switch_on'=> true改成 'lang_switch_on'=>false

? ? ? ?修改完后，重啟應用，小編建議再對服務進行權限控制，只允許受信任的主機訪問集群服務器。

? ? ? ?以上是南昌網絡公司百恒科技小編要跟大家聊到的關于ThinkPHP開發框架遠程代碼執行漏洞的通告，希望能夠對大家有所幫助，想要了解更多關于這方面的內容，歡迎留言咨詢百恒科技，百恒科技專注于軟件開發領域16年，主要涉及的業務有南昌APP開發、南昌網站建設開發等等服務！


相關文章推薦? ?：? ? 百度統計的安裝及使用方法? ??

? ? ? ? ? ? ? ? ? ? ? ? ? ? ? linux服務器時間校準的方法? ??