CVE-2019-6340：Drupal 远程代码执行漏洞预警

栏目: 编程工具 · 发布时间: 6年前

内容简介：北京时间2月21日，360CERT 监控到 Drupal 发布的重要安全更新，其中修补了一枚远程代码执行漏洞，漏洞编号为CVE-2019-6340。经过研判，漏洞是由于传入 RESTful Web服务的数据，未做严格校验造成的。漏洞成功利用可导致目标主机上远程代码执行。RESTful 服务默认不开启，大大降低漏洞风险。为安全起见，建议使用Drupal 的用户及时进行版本升级。漏洞是由Drupal 未对 RESTful Web 的数据进行严格效验造成。如果网站开启了RESTful Web服务，并且接受PATC

0x00 漏洞背景

北京时间2月21日，360CERT 监控到 Drupal 发布的重要安全更新，其中修补了一枚远程代码执行漏洞，漏洞编号为CVE-2019-6340。经过研判，漏洞是由于传入 RESTful Web服务的数据，未做严格校验造成的。漏洞成功利用可导致目标主机上远程代码执行。RESTful 服务默认不开启，大大降低漏洞风险。为安全起见，建议使用Drupal 的用户及时进行版本升级。

0x01 漏洞详情

漏洞是由Drupal 未对 RESTful Web 的数据进行严格效验造成。如果网站开启了RESTful Web服务，并且接受PATCH 、 POST请求，或站点中开启了其他web服务模块，将会出现反序列化问题，进而造成代码执行。

漏洞利用需要多个前置条件，大大削弱了漏洞实际影响。

0x02 漏洞影响

漏洞影响Drupal 8.6.x、Drupal 8.5.x 及 Drupal 7中的部分组件。详细版本信息如下：

Drupal 8.6.9 及以下版本
Drupal 8.6.10 及以下版本
影响组件
- RESTful Web Services
- JSON:API
- Link
- Metatag
- Video
- Paragraphs
- Translation Management Tool
- Font Awesome lcons

0x03 安全建议

对于该漏洞，可以禁用所有Web服务模块，或禁止处理PUT / PATCH / POST请求进行缓解。

因为影响核心组件，强烈建议广大用户按需进行版本升级，更新地址：

0x04 时间线

2019-02-21 Drupal 发布更新公告

2019-02-21 360CERT发布预警公告

0x05 参考链接

官方公告

以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。

码农书籍

微信民族志、自媒体时代的知识生产与文化实践

赵旭东 / 中国社会科学出版社 / 2017-9 / 98.00元

进入二十一世纪以来，随着网络技术的发展，自媒体的悄然登场深度影响着我们的日常生活。中国社会中自媒体通讯方式的普及以及随之而有的一种文化书写的新形式——微信民族志的出现使原有文化秩序中时空意义发生转变的同时，也在重新塑造着以研究异文化为己任的人类学学科自身的成长、转型与发展。在此种情境之下，由中国人民大学人类学研究所、中国人民大学国家发展与战略研究院、中国人民大学社会学理论与方法研究中心、《探索与争......一起来看看《微信民族志、自媒体时代的知识生产与文化实践》这本书的介绍吧!

码农工具