CVE-2019-6340 Drupal远程代码执行漏洞 - 嘶吼 RoarTalk – 网络安全行业综合服务平台,4hou.com

CVE-2019-6340 Drupal远程代码执行漏洞

ang010ela 漏洞 2019-02-23 09:12:31
201424
收藏

导语:研究人员在Drupal CMS系统中发现一个严重等级为highly critical的漏洞,CVE编号为CVE-2019-6340,攻击者利用该漏洞可以进行远程代码执行。

Drupal近日发布安全更新,解决了Drupal CMS系统中的一个highly critical的漏洞,该漏洞CVE编号为CVE-2019-6340,攻击者利用该漏洞可以进行远程代码执行。

CVE-2018-7602

CVE-2019-6340漏洞是由于对部分域类型的数据处理不当造成的,攻击者利用该漏洞可以执行任意的PHP代码。

Drupal的安全公告称,一些域类型没能适当处理来自非form源的数据,导致在一些情况下产生了任意的PHP代码执行漏洞。

为了利用该漏洞,攻击者需要启用核心的RESTful Web Services模块,并允许PATCH 或POST请求。如果启用了Drupal 8中的JSON:API或Drupal 7中的RESTful Web服务这类web服务模块,也可能触发该漏洞。

Drupal发布了Drupal 8.6.10和8.5.11来应对该漏洞。如果用户使用的是Drupal 7,就不需要更新。但专家指出Drupal 7的部分模块也需要更新。

Drupal在安全公告中建议用户禁用所有的web服务模块或将web服务器配置为不允许接收PUT/PATCH/POST请求到web服务资源。根据服务器的配置情况,web服务资源可能存在于多个路径中。对Drupal 7,资源主要是通过路径或参数到q查询参数。对Drupal 8,在前缀为index.php/的页面上,路径仍然是工作的。

最后建议用户尽快安装更新。

Drupal安全公共见https://www.drupal.org/sa-core-2019-003

  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论

 
本站4hou.com,所使用的字体和图片文字等素材部分来源于原作者或互联网共享平台。如使用任何字体和图片文字有侵犯其版权所有方的,嘶吼将配合联系原作者核实,并做出删除处理。
©2024 北京嘶吼文化传媒有限公司 京ICP备16063439号-1 本站由 提供云计算服务