CVE-2019-6340:Drupal中的远程代码执行漏洞

iso60001  1861天前

2.png

近期,安全专家在全球流行的Drupal CMS中发现了一个致命漏洞CVE-2019-6340,可导致远程代码执行。

Drupal也很快发布了安全更新。CVE-2019-6340主要是由于某些字段类型中缺少适当的安全过滤造成的,导致攻击者可用这个漏洞执行任意PHP代码。

这个漏洞是由Drupal安全团队的Samuel Mortenson发现的。

为了成功利用CVE-2019-6340,Drupal必须启用核心RESTful Web模块,并可接受PATCH或POST请求。如果启用了另一个Web服务模块(如Drupal 8中的JSON:API或Drupal 7中的RETSTful Web服务),也有可能触发该漏洞。

Drupal发布的Drupal 8.6.10和8.5.11已解决了这个漏洞。Drupal 7暂时不需要更新,但专家指出貌似也存在潜在的风险。

“如果想立刻拦截此漏洞的攻击,你可以禁用所有Web服务模块,或者禁止Web服务器接受Put/Patch/Post请求”。

“请注意,根据服务器的配置,Web服务可以在多个路径上访问。在Drupal 7上,资源通常可以通过路径以及“q”查询参数的结合进行查询。对于Drupal 8,若前缀为index.php/,路径依然可以正常访问。

Drupal用户最好尽快安装最新版本。

本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场
来源:https://securityaffairs.co/wordpress/81461/hacking/drupal-cve-2019-6340-rce.html

最新评论

昵称
邮箱
提交评论