DDos
VIP Members
-
22/10/2013
-
524
-
2.191 bài viết
Một lỗ hổng thực thi mã nghiêm trọng trong Drupal được vá
Drupal vừa phát hành bản cập nhật cho Drupal 8.6.10 và 8.5.11 để xử lý một lỗ hổng nghiêm trọng (CVE-2019-6340) có thể bị khai thác để thực thi mã tùy ý.
Lỗ hổng cho phép thực thi mã PHP tùy ý từ xa. Vấn đề này liên quan đến
Drupal 8 core RESTful Web Services (rest) module hoặc web services module (như JSON:API trong Drupal 8, hay Services/RESTful Web Services trong Drupal 7)
được tích hợp trong Drupal core.
Theo khuyến cáo của Drupal, các web services kể trên trong Drupal có thể xử lý không đúng cách từ các dữ liệu đầu vào của người dùng, từ đó tồn tại nguy cơ bị khai thác. Vấn đề nghiêm trọng ở chỗ, kẻ tấn công có thể chiếm quyền điều khiển website mà không cần bất kỳ quyền xác thực nào.
Drupal 8.6.10 và 8.5.11 đã vá lỗ hổng này. Các phiên bản Drupal 8 trước 8.5.x đã ngừng được hỗ trợ nên không còn được nhận các bản cập nhật an ninh. Đối với phiên bản Drupal 7, bạn cần cập nhật "Link module" tới phiên bản 7.x-1.6.
Để giảm thiểu ngay lập tức lỗ hổng, bạn có thể vô hiệu hóa tất cả các mô-đun dịch vụ web hoặc cấu hình máy chủ web của bạn để không cho phép các yêu cầu PUT / PATCH / POST đối với tài nguyên dịch vụ web. Lưu ý rằng tài nguyên dịch vụ web có thể có sẵn trên nhiều đường dẫn tùy thuộc vào cấu hình của (các) máy chủ của bạn.
Lỗ hổng cho phép thực thi mã PHP tùy ý từ xa. Vấn đề này liên quan đến
Drupal 8 core RESTful Web Services (rest) module hoặc web services module (như JSON:API trong Drupal 8, hay Services/RESTful Web Services trong Drupal 7)
được tích hợp trong Drupal core.
Theo khuyến cáo của Drupal, các web services kể trên trong Drupal có thể xử lý không đúng cách từ các dữ liệu đầu vào của người dùng, từ đó tồn tại nguy cơ bị khai thác. Vấn đề nghiêm trọng ở chỗ, kẻ tấn công có thể chiếm quyền điều khiển website mà không cần bất kỳ quyền xác thực nào.
Drupal 8.6.10 và 8.5.11 đã vá lỗ hổng này. Các phiên bản Drupal 8 trước 8.5.x đã ngừng được hỗ trợ nên không còn được nhận các bản cập nhật an ninh. Đối với phiên bản Drupal 7, bạn cần cập nhật "Link module" tới phiên bản 7.x-1.6.
Để giảm thiểu ngay lập tức lỗ hổng, bạn có thể vô hiệu hóa tất cả các mô-đun dịch vụ web hoặc cấu hình máy chủ web của bạn để không cho phép các yêu cầu PUT / PATCH / POST đối với tài nguyên dịch vụ web. Lưu ý rằng tài nguyên dịch vụ web có thể có sẵn trên nhiều đường dẫn tùy thuộc vào cấu hình của (các) máy chủ của bạn.