Drupal phát hành các bản vá an ninh, gồm một lỗ hổng cho phép thực thi mã PHP tùy ý

[WhiteHat News #ID:2018]

Drupal là hệ thống quản trị nội dung (CMS) mã nguồn mở miễn phí được ưa chuộng nhất hiện nay.

Nhà phát triển phần mềm này vừa phải phát hành các bản cập nhật an ninh xử lý nhiều lỗ hổng, trong đó có một lỗi “nghiêm trọng” CVE-2020-13664 có thể bị kẻ tấn công khai thác để thực thi mã PHP tùy ý.

Lỗ hổng này ảnh hưởng đến cả hai phiên bản 8 và 9, nhưng theo các chuyên gia nó chỉ có thể bị khai thác trong một số điều kiện nhất định và có thể ảnh hưởng đến các Windows Server.

Theo khuyến cáo của hãng: “Kẻ tấn công có thể lừa quản trị viên truy cập một trang độc hại dẫn đến tạo ra một thư mục được đặt tên cụ thể trên hệ thống file. Với thư mục này, kẻ tấn công có thể thực hiện brute force một lỗ hổng thực thi mã từ xa”.

Ngoài ra, Drupal cũng xử lý một lỗ hổng CSRF (cross-site request forgery) nghiêm trọng CVE-2020-13663 ảnh hưởng đến các phiên bản Drupal 7, 8 và 9.

Drupal cho biết: “Form API trong nhân Drupal không xử lý chính xác đầu vào form nhất định từ các truy vấn cross-site, có thể tạo ra các lỗ hổng khác”.

Đội ngũ phát triển cũng xử lý một lỗ hổng “ít nghiêm trọng hơn” ảnh hưởng đến Drupal 8 và 9.

“Các truy vấn JSON:API PATCH có thể qua mặt việc xác thực ở một số trường nhất định. Nếu JSON:API chạy mặc định ở chế độ chỉ đọc (read-only) thì không thể khai thác lỗ hổng. Chỉ những trang đặt chế độ read only ở trạng thái FALSE với cấu hình jsonapi.settings mới dính lỗ hổng”.

Các quản trị hệ thống được khuyến cáo cần cập nhật lên phiên bản Drupal mới nhất để vá các lỗ hổng này. Cụ thể:

- Nếu đang sử dụng Drupal 8.8.x, cập nhật lên Drupal 8.8.8.

- Nếu đang sử dụng Drupal 8.9.x, cập nhật lên Drupal 8.9.1.

- Nếu đang sử dụng Drupal 9.0.x, cập nhật lên Drupal 9.0.1.

Theo Security Affairs, Drupal
​