Drupal 兩個任意代碼執行漏洞安全通告
發布時間 2019-01-18漏洞編號和級別
暫無 嚴重 CVSS分值：官方未評定
暫無 嚴重 CVSS分值：官方未評定
影響版本
Drupal 8.6.x.
Drupal 8.5.x.
Drupal 7.x.
漏洞概述
1月17日，Drupal發布了Drupal 7,8.5和8.6的安全更新，解決了兩個可能被利用來執行任意代碼的“關鍵”安全漏洞。
遠程攻擊者可以利用第一個漏洞來執行任意PHP代碼。該漏洞存在于PHP中實現的phar流包裝中，與處理不受信任的phar:// URI的方式有關。
一些Drupal代碼可能在對沒有經過充分驗證的用戶輸入執行文件操作，從而暴露于此漏洞。
代碼路徑通常需要訪問管理權限或非典型配置，從而減輕了此漏洞。
第二個漏洞影響了PEAR Archive_Tar，這是一個用PHP處理.tar文件的第三方庫。攻擊者可以使用特制的.tar文件刪除系統上的任意文件，甚至可能執行遠程代碼。該庫發布了一個安全更新，它會影響一些Drupal配置。有關詳細信息，請參閱CVE-2018-1000888。
漏洞利用
目前，有利用CVE-2018-1000888的EXP: https://www.anquanke.com/vul/id/1450307。
修復建議：
Drupal已在其最新版本修補了這兩個漏洞：
Drupal 8.6.x升級到 Drupal 8.6.6.
Drupal 8.5.x 升級到Drupal 8.5.9.
Drupal 7.x升級到Drupal 7.62.
8.5.x之前的Drupal 8版本將不再接收安全更新，因為它們已經達到使用壽命。
參考鏈接：
https://www.drupal.org/sa-core-2019-001
https://www.drupal.org/sa-core-2019-002
http://blog.pear.php.net/2018/12/20/security-vulnerability-announcement-archive_tar/
京公網安備11010802024551號