Drupal核心組件多個漏洞安全通告
發布時間 2019-04-19漏洞編號和級別
CVE編號：暫無，危險級別：高危，CVSS分值：官方未評定
CVE編號：CVE-2019-10909，危險級別：高危，CVSS分值：官方未評定
CVE編號：CVE-2019-10910，危險級別：高危，CVSS分值：官方未評定
CVE編號：CVE-2019-10911，危險級別：高危，CVSS分值：官方未評定
影響版本
受影響的版本
Drupal 8.5或更早版本，Drupal 8.6，Drupal 7
受影響的組件
jQuery < 3.4.0
Symfony 2.7.0 to 2.7.50, 2.8.0 to 2.8.49, 3.4.0 to 3.4.25, 4.1.0 to 4.1.11 and 4.2.0 to 4.2.6
漏洞概述
Drupal是Drupal社區的一套使用PHP語言開發的開源內容管理系統。Drupal發布了安全更新，以解決Drupal Core中的多個安全漏洞，這些漏洞可能允許遠程攻擊者破壞數十萬個網站的安全性。
其中一個安全漏洞是一個跨站點腳本（XSS）漏洞，它存在于第三方插件中，稱為JQuery，這是數百萬網站使用的最流行的JavaScript庫，也預先集成在Drupal Core中。該漏洞尚未分配CVE編號。
其余三個安全漏洞存在于Drupal Core使用的Symfony PHP組件中：
CVE-2019-10909
使用PHP模板引擎的表單主題時，驗證消息未被轉義，當驗證消息可能包含用戶輸入時，可能會導致XSS。
CVE-2019-10910
從未過濾的用戶輸入派生的服務ID可能導致執行任何任意代碼，從而導致可能的遠程代碼執行。
CVE-2019-10911
攻擊者可以修改記住我的cookie并作為不同的用戶進行身份驗證。
漏洞驗證
暫無POC/EXP。
修復建議
目前已有新版本如下，請用戶及時更新。
Drupal 8.6.15
https://www.drupal.org/project/drupal/releases/8.6.15
Drupal 8.5.15
https://www.drupal.org/project/drupal/releases/8.5.15
Drupal 7.66
https://www.drupal.org/project/drupal/releases/7.66
Symfony 2.7.51, 2.8.50, 3.4.26, 4.1.12 and 4.2.7
https://github.com/symfony/symfony/commit/ab4d05358c3d0dd1a36fc8c306829f68e3dd84e2
jQuery 3.4.0
https://blog.jquery.com/2019/04/10/jquery-3-4-0-released/
參考鏈接
https://www.drupal.org/security
|
|
|||||
|
|||||
|
|
|||||
京公網安備11010802024551號