AG公司云
【清静通告】Yii2 反序列化远程下令执行误差 (CVE-2020-15148) 防护计划
2020-09-21
一. 综述
克日监测到，Yii Framework 2 在其 9月14 日宣布的更新日志中宣布了一个反序列化远程下令执行误差(CVE-2020-15148) 。
官方通过给yii\db\BatchQueryResult类加上__wakeup()函数，禁用了yii\db\BatchQueryResult的反序列化，阻止了应用程序对恣意用户输入挪用'unserialize()’造成的远程下令执行 。
Yii2 是一个高性能，基于组件的开源 PHP 框架，用于快速开发明代 Web 应用程序 。
现在，官方已宣布修复了误差的新版本 。AG公司科技检测防护产品已针对该误差提供能力，建议相关用户尽快接纳防护步伐 。
参考链接：
https://github.com/yiisoft/yii2/blob/928b511d75ee719cd4007f220eafce9eab4d1b4a/framework/CHANGELOG.md
https://github.com/yiisoft/yii2/security/advisories/GHSA-699q-wcff-g9mj
二. 误差影响规模
l Yii2 Version < 2.0.38
三. 手艺防护计划
3.1 官方修复计划
官方已宣布修复了误差的新版本2.0.38 。
下载链接：
https://github.com/yiisoft/yii2/releases/tag/2.0.38
3.2 AG公司科技检测防护建议
3.2.1 AG公司科技检测类产品与服务
内网资产可以使用AG公司科技的远程清静评估系统（RSAS V6）、Web应用误差扫描系统（WVSS）、入侵检测系统(IDS)、统一威胁探针（UTS）举行检测 。
远程清静评估系统（RSAS V6）
http://update.nsfocus.com/update/listRsas
Web应用误差扫描系统（WVSS）
http://update.nsfocus.com/update/listWvss
入侵检测系统（IDS）
http://update.nsfocus.com/update/listIds
统一威胁探针（UTS）
http://update.nsfocus.com/update/bsaUtsIndex
3.2.1.1 检测产品升级包/规则版本号
|
检测产品 |
升级包/规则版本号 |
|
RSAS V6 web插件 |
V6.0R02F00.1816 |
|
WVSS |
V6.0R03F00.182 |
|
IDS |
5.6.9.23576、5.6.10.23576 |
|
UTS |
5.6.10.23576 |
3.2.2 AG公司科技防护类产品
使用AG公司科技防护类产品，入侵防护系统（IPS）、下一代防火墙系统（NF）、Web应用防护系统（WAF）来举行防护 。
入侵防护系统（IPS）
http://update.nsfocus.com/update/listIps
下一代防火墙系统（NF）
http://update.nsfocus.com/update/listNf
Web应用防护系统（WAF）
http://update.nsfocus.com/update/wafIndex
3.2.2.1 防护产品升级包/规则版本号
|
防护产品 |
升级包/规则版本号 |
规则编号 |
|
IPS |
5.6.9.23576、5.6.10.23576 |
25037 |
|
NF |
6.0.1.828、6.0.2.828 |
25037 |
|
WAF |
6.0.7.0.46432、6.0.7.1.46432 |
27005015 |
四. 附录 产品/平台使用指南
4.1 RSAS扫描设置
在系统升级中，点击下图红框位置选择文件 。
选择下载好的响应升级包，点击升级按钮举行手动升级 。期待升级完成后，可通过定制扫描模板，针对此误差举行扫描 。
4.2 WVSS扫描设置
在WVSS的系统升级界面，点击下图红框位置选择文件，举行升级：
选择下载好的响应升级包，点击升级按钮举行手动升级 。期待升级完成后，可通过定制扫描模板，针对此次误差举行扫描 。
4.3 UTS检测设置
在系统升级中点击离线升级，选择规则升级文件，选择对应的升级包文件，点击上传，并期待升级乐成即可 。
4.4 IPS防护设置
在系统升级中点击离线升级，选择系统规则库，选择对应的文件，点击上传 。
更新乐成后，在系统默认规则库中查找规则编号，即可盘问到对应的规则详情 。
注重事项：该升级包升级后引擎自动重启生效，不会造成会话中止，但ping包会丢3~5个，请选择合适的时间升级 。
4.5 NF防护设置
在 NF 的规则升级界面举行升级：
手动选择规则包，提交即可完成更新 。
4.6 WAF防护设置
在WAF的规则升级界面举行升级：
手动选择规则包，提交即可完成更新 。
4.7 声 明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许 。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任 。AG公司科技拥有对此清静通告的修改息争释权 。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容 。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的 。
关于AG公司科技
AG公司（简称AG公司科技）建设于2000年4月，总部位于北京 。在海内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有焦点竞争力的清静产品及解决计划，资助客户实现营业的清静顺畅运行 。
基于多年的清静攻防研究，AG公司科技在网络及终端清静、互联网基础清静、合规及清静治理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务 。
AG公司于2014年1月29日起在深圳证券生意所创业板上市，股票简称：AG公司科技，股票代码：300369 。
