漏洞通告 | Drupal目录穿越漏洞

漏洞背景

近日Drupal官方发布安全公告，由于使用了pear/Archive_Tar库，导致Drupal存在目录穿越漏洞。

漏洞描述

Archive_Tar库存在CVE-2020-36193漏洞，Archive_Tar中的Tar.php未对符号链接检查从而导致目录穿越的操作。攻击者通过上传构造的恶意.tar, .tar.gz, .bz2, 或 .tlz文件，可以写入恶意代码到Drupal服务器中。

漏洞危害

高危

影响版本

还在支持的所有Drupal版本

解决方案

• Drupal 9.1，请更新至Drupal 9.1.3。

• Drupal 9.0，请更新至Drupal 9.0.11。

• Drupal 8.9，请更新至Drupal 8.9.13。

• Drupal 7，请更新至Drupal 7.78。

• 8.9.x之前的Drupal 8版本已经停止支持，没有更新。但是可以禁止上传.tar, .tar.gz, .bz2, 或 .tlz文件，以减轻该漏洞。
  

参考信息

1. https://www.drupal.org/sa-core-2021-001

2. https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-36193

3. https://github.com/pear/Archive_Tar/commit/cde460582ff389404b5b3ccb59374e9b389de916

关于山石网科安全技术研究院

    山石安研院是山石网科的信息安全智库部门，主要负责反APT研究、出战及承办全球攻防赛事、高端攻防技术培训、全球中英文安全预警分析发布、各类软硬件漏洞挖掘和利用研究、承接国家网络安全相关课题、不定期发布年度或半年度的各类技术报告及公司整体攻防能力展现。技术方向包括移动安全、虚拟化安全、工控安全、物联安全、区块链安全、协议安全、源码安全、反APT及反窃密。
    为多省公安厅提供技术支撑工作，为上合峰会、财富论坛、金砖五国等多次重大活动提供网络安保支撑工作。在多次攻防赛事中连获佳绩，网安中国行第一名，连续两届红帽杯冠军、网鼎杯线上第一名，在补天杯、极棒杯、全国多地的护网演习等也都获得优秀的成绩，每年获得大量的CNVD、CNNVD、CICSVD、CVE证书、编号和致谢。如需帮助请咨询 [email protected]

本文始发于微信公众号（山石网科安全技术研究院）：漏洞通告 | Drupal目录穿越漏洞