CVE-2019-6340:Drupal 远程代码执行漏洞预警

栏目: 编程工具 · 发布时间: 5年前

内容简介:北京时间2月21日,360CERT 监控到 Drupal 发布的重要安全更新,其中修补了一枚远程代码执行漏洞,漏洞编号为CVE-2019-6340。经过研判,漏洞是由于传入 RESTful Web服务的数据,未做严格校验造成的。漏洞成功利用可导致目标主机上远程代码执行。RESTful 服务默认不开启,大大降低漏洞风险。为安全起见,建议使用Drupal 的用户及时进行版本升级。漏洞是由Drupal 未对 RESTful Web 的数据进行严格效验造成。如果网站开启了RESTful Web服务,并且接受PATC

CVE-2019-6340:Drupal 远程代码执行漏洞预警

0x00 漏洞背景

北京时间2月21日,360CERT 监控到 Drupal 发布的重要安全更新,其中修补了一枚远程代码执行漏洞,漏洞编号为CVE-2019-6340。经过研判,漏洞是由于传入 RESTful Web服务的数据,未做严格校验造成的。漏洞成功利用可导致目标主机上远程代码执行。RESTful 服务默认不开启,大大降低漏洞风险。为安全起见,建议使用Drupal 的用户及时进行版本升级。

0x01 漏洞详情

漏洞是由Drupal 未对 RESTful Web 的数据进行严格效验造成。如果网站开启了RESTful Web服务,并且接受PATCH 、 POST请求,或站点中开启了其他web服务模块,将会出现反序列化问题,进而造成代码执行。

漏洞利用需要多个前置条件,大大削弱了漏洞实际影响。

0x02 漏洞影响

漏洞影响Drupal 8.6.x、Drupal 8.5.x 及 Drupal 7中的部分组件。详细版本信息如下:

  • Drupal 8.6.9 及以下版本
  • Drupal 8.6.10 及以下版本
  • 影响组件
    • RESTful Web Services
    • JSON:API
    • Link
    • Metatag
    • Video
    • Paragraphs
    • Translation Management Tool
    • Font Awesome lcons

0x03 安全建议

对于该漏洞,可以禁用所有Web服务模块,或禁止处理PUT / PATCH / POST请求进行缓解。

因为影响核心组件,强烈建议广大用户按需进行版本升级,更新地址:

0x04 时间线

2019-02-21 Drupal 发布更新公告

2019-02-21 360CERT发布预警公告

0x05 参考链接

  1. 官方公告

以上就是本文的全部内容,希望本文的内容对大家的学习或者工作能带来一定的帮助,也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

ACM国际大学生程序设计竞赛题解

ACM国际大学生程序设计竞赛题解

赵端阳//袁鹤 / 电子工业 / 2010-7 / 39.00元

随着各大专院校参加ACM/ICPC热情的高涨,迫切需要有关介绍ACM国际大学生程序设计竞赛题解的书籍。《ACM国际大学生程序设计竞赛题解(2)》根据浙江大学在线题库的部分题目,经过分类、筛选、汇编,并进行了解答(个别特别简单或者特别复杂的题目未选择),比较详细地分析和深入浅出地讲解了解题的方法和用到的算法。题目的类型包括基础编程、模拟、字符串处理、搜索、动态规划、回溯、图论、几何和数学题。 ......一起来看看 《ACM国际大学生程序设计竞赛题解》 这本书的介绍吧!

在线进制转换器
在线进制转换器

各进制数互转换器

html转js在线工具
html转js在线工具

html转js在线工具

HEX HSV 转换工具
HEX HSV 转换工具

HEX HSV 互换工具