2017年８月16日Drupal研究人員發(fā)布安全報(bào)告，宣稱已修復(fù)Drupal8多處漏洞并在線更新安全補(bǔ)丁。由于Drupal強(qiáng)大的定制開(kāi)發(fā)能力，眾多有技術(shù)實(shí)力的網(wǎng)站建設(shè)公司優(yōu)先選用的網(wǎng)站開(kāi)發(fā)平臺(tái)，存在一定的安全風(fēng)險(xiǎn)。建議用戶及時(shí)排查并修復(fù)該風(fēng)險(xiǎn)。中新網(wǎng)安將對(duì)該漏洞進(jìn)行持續(xù)關(guān)注，并第一時(shí)間為您更新相關(guān)漏洞信息。
中新網(wǎng)安安全研究院Drupal核心多處高危漏洞總結(jié)報(bào)告
【漏洞名稱】Drupal核心 - 多處高危漏洞 【風(fēng)險(xiǎn)等級(jí)】高危 【影響版本】Drupal core 8.x版本和8.3.7之前的版本 【威脅描述】
當(dāng)創(chuàng)建視圖時(shí)，可以選擇使用Ajax通過(guò)過(guò)濾器參數(shù)更新數(shù)據(jù)。不過(guò)，視圖子模塊僅對(duì)配置為Ajax的視圖進(jìn)行訪問(wèn)。如果用戶對(duì)視圖具有訪問(wèn)限制，那么可以減輕系統(tǒng)損失，即使用戶正使用另一模塊顯示。
在Drupal8中存在另一繞過(guò)訪問(wèn)權(quán)限的關(guān)鍵漏洞，當(dāng)使用REST API時(shí)，沒(méi)有正確權(quán)限的用戶可以通過(guò)即使用戶沒(méi)有發(fā)布已批準(zhǔn)的注釋的權(quán)限即可通過(guò)已批準(zhǔn)的REST發(fā)布注釋。目前，此漏洞已被評(píng)估為高危漏洞。
實(shí)體訪問(wèn)系統(tǒng)中存在可能允許不必要的訪問(wèn)來(lái)查看、創(chuàng)建、更新或刪除實(shí)體的漏洞。這僅影響不使用或不具有UUID的實(shí)體，以及對(duì)同一實(shí)體的不同修訂版具有不同訪問(wèn)限制的實(shí)體。此漏洞已被評(píng)估為高危漏洞。 【應(yīng)對(duì)措施】
|
