【漏洞预警】Drupal内核远程代码执行高危漏洞

SetYun 发表于 2019-1-21 09:42:52 | 显示全部楼层 |阅读模式

2019年1月17日,阿里云云盾应急响应中心监测到Drupal官方发布安全更新,披露了2个高危安全漏洞,攻击者利用漏洞,可能远程执行PHP任意代码获取服务器权限。



漏洞描述

Drupal在处理phar:// URI时未做安全处理,导致攻击者构造特定的请求触发Drupal代码(core,contrib和custom)中的文件相关操作时,可执行PHP反序列化导致远程代码执行漏洞。


漏洞评级

sa-core-2019-002 严重

sa-core-2019-001 严重


影响版本

Drupal 8.6.x < 8.6.6

Drupal 8.5.x < 8.5.9

Drupal 7.x < 7.62


安全版本

Drupal 8.6.6 及以上

Drupal 8.5.9 及以上

Drupal 7.62 及以上



安全建议

升级Drupal核心代码至安全版本



相关链接

https://www.drupal.org/security




我们会关注后续进展,请随时关注官方公告。

如有任何问题,可随时通过工单或服务电话95187联系反馈。

阿里云云盾应急响应中心

2019.1.17


回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|手机版|小黑屋|SetYun ( 辽ICP备16005250号

GMT+8, 2021-3-5 05:55 , Processed in 0.041183 second(s), 5 queries , File On.

Powered by Discuz! X3.3

© 2001-2017 Comsenz Inc.

快速回复 返回顶部 返回列表