FusionAuth远程代码执行漏洞风险通告
发布时间 2020-02-04漏洞编号和级别
CVE编号：CVE-2020-7799，危险级别：高危，CVSS分值：官方未评定
影响版本
Apache FusionAuth <= 1.10
漏洞概述
近日，Apache FusionAuth发布新版本修复了一个远程代码执行漏洞。发现在FusionAuth中经过身份验证的用户可以编辑电子邮件模板(Home->Settings->Email Templates)或主题(Home->Settings->Themes)，从而通过处理自定义模板的Apache FreeMarker引擎中的freemarker.template.utility.Execute在底层操作系统上执行任意命令。
FusionAuth是现代的访问管理开源应用程序，可以与多种技术和平台集成。可以通过管理仪表板以多种方式配置和自定义FusionAuth，为任何应用程序提供身份验证、授权和用户管理；由于使用Apache FreeMarker模板引擎，且未对用户输入数据进行过滤，此漏洞将对服务器安全造成严重威胁。
漏洞验证
EXP：https://cxsecurity.com/issue/WLB-2020010208。
修复建议
目前厂商已发布新版本FusionAuth 1.11修复漏洞，受影响的用户请尽快更新升级进行防护：https://fusionauth.io/docs/v1/tech/installation-guide/upgrade。
参考链接
https://lab.mediaservice.net/advisory/2020-03-fusionauth.txt
京公网安备11010802024551号