CVE-2020-36193 Drupal 目录遍历漏洞

  • A+
所属分类:安全漏洞

1. 通告信息




近日,安识科技A-Team团队发现Drupal 官方发布安全更新,修复了 Drupal 目录遍历漏洞(CVE-2020-36193)。

Drupal是使用PHP语言编写的开源内容管理框架。1月20日Drupal官方发布安全更新,修复了Drupal 远程代码执行漏洞(CVE-2020-36193)。对此,安识科技团队建议广大用户及时更新升级Drupal框架。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

 

2. 漏洞概述




Drupal使用了PEAR Archive_Tar作为依赖库,在处理如.tar、.tar.gz、.bz2或.tlz等格式的压缩包时,由于过滤不严,攻击者可构造包含符号链接的压缩包,结合上传功能,可能导致存在目录遍历漏洞,甚至远程代码执行漏洞。  

    

3. 漏洞危害




攻击者可利用高危漏洞遍历目录,远程代码执行等等,获得该服务器的控制权限,存在较大的安全隐患。


4. 影响版本




漏洞影响的产品版本包括:

Drupal < 9.1.3

Drupal < 9.0.11

Drupal < 8.9.13

Drupal < 7.78

 

5. 解决方案




1.升级Drupal至最新版本

https://www.drupal.org/project/drupal/issues/3193801

2.设置Drupal禁止用户上传如.tar、.tar.gz、.bz2、.tlz等格式的压缩包。

 

6. 时间轴



-2021年1月20日 Drupal 官方发布安全更新公告

-2021年1月21日 安识科技A-Team团队根据公告分析

-】2021年1月21日 安识科技A-Team


CVE-2020-36193 Drupal 目录遍历漏洞

本文始发于微信公众号(SecPulse安全脉搏):CVE-2020-36193 Drupal 目录遍历漏洞

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: