Drupal第三个严重远程代码执行漏洞

2018-05-17 18:07 标签: 远程代码执行漏洞,网络安全

  近日,Drupal发布了新版本的软件,以修补另一个影响其Drupal7和8核心的严重远程代码执行(RCE)漏洞(CVE-2018-7602),这是过去30天以来Drupal被发现的第三个严重漏洞。

  Drupal是一个流行的开源内容管理系统(CMS)软件,为数百万个网站提供支持。但不幸的是,自从披露了一个高度关键的远程代码执行漏洞以来,其CMS一直处于被攻击状态。

  这个新的漏洞是在探索先前暴露的RCE漏洞(名为drupalddon2(CVE-2018-7600))时被发现的。攻击者开发利用Drupalgeddon2漏洞将加密货币矿工、后门程序和其他恶意软件注入网站。据悉,drupalddon2已在3月28日被修复。

  除了这两个缺陷之外,该团队上周还修补了一个中等严重的跨站脚本(XSS)漏洞。该漏洞可能导致远程攻击者发起高级攻击,例如cookie盗窃、键盘记录、网络钓鱼和身份盗用等。

  根据该团队发布的新报告,新的远程代码执行漏洞(CVE-2018-7602)可能会允许攻击者完全接管易受攻击的网站。由于之前披露的漏洞引起了很多关注,Drupal敦促所有网站管理员尽快安装新的安全补丁。

  如果您正在运行7.x,请升级到Drupal7.59。

  如果您正在运行8.5.x,请升级到Drupal8.5.3。

  如果您正在运行不再支持的8.4.x版本,则需要先将网站更新到8.4.8版本,然后尽快安装最新的8.5.3版本。

  还应该注意的是,只有当您的站点已经为Drupalgeddon2漏洞应用了补丁时,新补丁才会生效。

  有关该漏洞的技术细节被命名为Drupalgeddon3,但并未对外公布。Drupal发言人表示虽然该新漏洞较之前的更加复杂,但目前尚未发现有关该漏洞的任何攻击行为。

  SeeBug漏洞库:

  Drupalcore Remote Code Execution(CVE-2018-7602)

  Drupalcore Remote Code Execution(CVE-2018-7600)(Drupalgeddon2)

  Drupal安全公告:

  《Drupalcore–Highlycritical–Remote Code Execution–SA-CORE-2018-004》

  稿源:securityweek,HackerNews.cc;

  以上为正文内容。

  网堤安全-专业的云安全解决方案综合服务商!

  转载请注明:网堤安全https://www.ddos.com

 

 

 

行业资讯 Industry Information

关于我们

About Us