Vulnerabilidad en Laravel (CVE-2024-52301)

La vulnerabilidad CVE-2024-52301 afecta al framework Laravel cuando la directiva de PHP register_argc_argv está habilitada (on). En este escenario, un atacante puede manipular el entorno de la aplicación mediante una cadena de consulta especialmente diseñada en la URL, lo que podría permitir acceso no autorizado, escalada de privilegios o interrupción del servicio.

Versiones afectadas

• Laravel < 6.20.45

• Laravel >= 7.0.0, < 7.30.7

• Laravel >= 8.0.0, < 8.83.28

• Laravel >= 9.0.0, < 9.52.17

• Laravel >= 10.0.0, < 10.48.23

• Laravel >= 11.0.0, < 11.31.0

Versiones corregidas

• Laravel 6.20.45

• Laravel 7.30.7

• Laravel 8.83.28

• Laravel 9.52.17

• Laravel 10.48.23

• Laravel 11.31.0

Actualización importante

A partir de las versiones corregidas, Laravel Framework ahora ignora los valores argv para la detección del entorno en entornos SAPI que no son de CLI. Esto mejora la seguridad en aplicaciones que no utilizan PHP desde la línea de comandos.

Más información

Recomendaciones

1. Actualizar Laravel: Si tu aplicación utiliza una de las versiones afectadas, es fundamental actualizar a la versión corregida correspondiente para mitigar esta vulnerabilidad.

2. Revisar la configuración de PHP: Asegúrate de que la directiva register_argc_argv esté deshabilitada (off) en los entornos de producción, a menos que sea estrictamente necesaria.

3. Monitorear la aplicación: Implementa sistemas de monitoreo que detecten actividades inusuales o intentos de explotación relacionados con esta vulnerabilidad.

4. Capacitación en seguridad: Educa a tu equipo de desarrollo sobre prácticas seguras, incluyendo la validación estricta de entradas y el manejo adecuado de configuraciones del entorno.