九游老哥云
【威胁通告】FusionAuth远程下令执行（CVE-2020-7799）误差
2020-01-29
一. 误差概述
北京时间1月28日，NVD宣布了一个FusionAuth保存Apache Freemarker模板远程下令执行（CVE-2020-7799）的误差；发明在FusionAuth中经由身份验证的用户可以编辑电子邮件模板(Home->Settings->Email Templates)或主题(Home->Settings->Themes)，从而通过处置惩罚自界说模板的Apache FreeMarker引擎中的freemarker.template.utility.Execute在底层操作系统上执行恣意下令。
FusionAuth是现代的会见治理开源应用程序，可以与多种手艺清静台集成�？梢酝ü卫硪潜戆逡远嘀址椒ㄉ柚煤妥越缢礔usionAuth，为任何应用程序提供身份验证、授权和用户治理；由于使用Apache FreeMarker模板引擎，且未对用户输入数据举行过滤，此误差将对服务器清静造成严重威胁，现在PoC已果真，请相关用户实时举行防护。
参考链接：
https://nvd.nist.gov/vuln/detail/CVE-2020-7799
二. 影响规模
受影响版本
FusionAuth <= 1.10.1
不受影响版本
FusionAuth >= 1.11
三. 误差检测
相关用户可通过版本检测的要领判断目今应用是否保存危害。
在web治理页面左下方可审查目今所使用的FusionAuth版本：
若目今版本在受影响规模内，则可能保存清静危害。
四. 误差防护
4.1 官方升级
4.1.1 快速升级
选择快速装置的用户可以使用如下要领升级FusionAuth到最新版本：
Linux：
使用ZIP包方法装置的用户，首先进入应用的装置目录下，阻止目今程序：
/bin/shutdown.sh
进入装置目录的上级目录（例：装置目录为/usr/local/fusionauth，则进入/usr/local/目录），执行以下下令举行升级：
sh -c "curl -fsSL https://raw.githubusercontent.com/FusionAuth/fusionauth-install/master/install.sh | sh -s - -z"
进入装置目录，启动程序：
/bin/startup.sh
使用DEB或RPM包装置的用户，执行以下下令举行升级：
sh -c "curl -fsSL https://raw.githubusercontent.com/FusionAuth/fusionauth-install/master/install.sh | sh"
启动程序：
sudo service fusionauth-search start sudo service fusionauth-app start
Windows：
进入装置目录下，阻止目今程序：
net stop FusionAuthApp
net stop FusionAuthSearch
装置最新版本：
iex (new-object net.webclient).downloadstring('https://raw.githubusercontent.com/FusionAuth/fusionauth-install/master/install.ps1')
启动程序：
\bin\startup.bat
详细升级历程可参考官方的升级文档:
https://fusionauth.io/docs/v1/tech/installation-guide/fast-path
4.1.2 手动升级
选择手动装置的用户可以使用如下要领升级FusionAuth到最新版本：
Linux：
进入装置目录，阻止程序并举行卸载：
# 阻止程序
/bin/shutdown.sh
# 卸载
rm -rf ./fusionauth-app
rm -rf ./fusionauth-search
rm -rf ./bin
会见以下链接下载最新的程序包（1.14.0版）：
https://storage.googleapis.com/inversoft_products_j098230498/products/fusionauth/1.14.0/fusionauth-app-1.14.0.zip
https://storage.googleapis.com/inversoft_products_j098230498/products/fusionauth/1.14.0/fusionauth-search-1.14.0.zip
进入装置目录，解压装置包：
unzip -nq new-fusionauth-app.zip
unzip -nq new-fusionauth-search.zip
启动程序：
/bin/startup.sh
Windows：
进入程序装置目录，阻止程序并举行卸载：
# 阻止程序
net stop FusionAuthApp
net stop FusionAuthSearch
# 卸载程序
cd \fusionauth\fusionauth-app\apache-tomcat\bin
FusionAuthApp.exe /uninstall
cd \fusionauth\fusionauth-search\elasticsearch\bin
FusionAuthSearch.exe /uninstall
# 移除原目录
cd \fusionauth
move fusionauth-app fusionauth-app-old move fusionauth-search fusionauth-search-old
会见以下链接下载最新的程序包（1.14.0版）：
https://storage.googleapis.com/inversoft_products_j098230498/products/fusionauth/1.14.0/fusionauth-app-1.14.0.zip
https://storage.googleapis.com/inversoft_products_j098230498/products/fusionauth/1.14.0/fusionauth-search-1.14.0.zip
将上述压缩包解压后，举行装置：
# 装置
cd \fusionauth\fusionauth-app\apache-tomcat\bin
FusionAuthApp.exe /install
cd \fusionauth\fusionauth-search\elasticsearch\bin
FusionAuthSearch.exe /install
# 启动程序
net start FusionAuthSearch net start FusionAuthApp
详细升级历程可参考官方升级文档：
https://fusionauth.io/docs/v1/tech/installation-guide/upgrade
声明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。
九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
关于九游老哥科技
北京神州九游老哥信息清静科技股份有限公司（简称九游老哥科技）建设于2000年4月，总部位于北京。在海内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有焦点竞争力的清静产品及解决计划，资助客户实现营业的清静顺畅运行。
基于多年的清静攻防研究，九游老哥科技在网络及终端清静、互联网基础清静、合规及清静治理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务。
北京神州九游老哥信息清静科技
