web2py < 2.14.1 gluon/utils.py secure_load 函数反序列化漏洞

CVE编号

CVE-2016-3957

利用情况

EXP 已公开

补丁情况

官方补丁

披露时间

2018-02-07

漏洞描述

web2py是一套使用Python编写的开源Web框架，它支持快速开发基于数据库驱动的Web应用程序。
web2py 2.14.2之前版本中的gluon/utils.py文件的‘secure_load’函数存在安全漏洞，该漏洞源于程序使用pickle.loads反序列化被存储在cookies中的会话信息。远程攻击者可利用该漏洞执行任意代码。

解决建议

目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
http://www.web2py.com/

参考链接
https://devco.re/blog/2017/01/03/web2py-unserialize-code-execution-CVE-2016-3957/
https://github.com/web2py/web2py/blob/R-2.14.1/gluon/utils.py#L200
https://usn.ubuntu.com/4030-1/

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	web2py	web2py	*		Up to (excluding) 2.14.2
	运行在以下环境
	系统	ubuntu_16.04	web2py	*		Up to (excluding) 2.12.3-1ubuntu0.1
	运行在以下环境
	系统	ubuntu_16.04_lts	web2py	*		Up to (excluding) 2.12.3-1ubuntu0.1

阿里云评分 9.4

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 全局影响
• EXP成熟度 EXP 已公开
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 传输被破坏
• 服务器危害 服务器失陷
• 全网数量 N/A

CWE-ID 漏洞类型 CWE-502 可信数据的反序列化