[漏洞預警] Drupal 遠程代碼執行漏洞（CVE-2020-28949、CVE-2020-28948）
X0_0X2020-11-26 18:16:34
2020年11月26日，阿里云應急響應中心監測到 drupal 官方發布安全更新，修復了 Drupal 遠程代碼執行漏洞（CVE-2020-28949、CVE-2020-28948）。
漏洞描述
Drupal是使用PHP語言編寫的開源內容管理框架。11月25日Drupal官方發布安全更新，修復了Drupal 遠程代碼執行漏洞（CVE-2020-28949、CVE-2020-28948）。Drupal使用了PEAR Archive_Tar作為依賴庫，在處理如.tar、.tar.gz、.bz2或.tlz等格式的壓縮包時，由于過濾不嚴，可能導致存在PHAR反序列化漏洞，從而造成遠程代碼執行。阿里云應急響應中心提醒 Drupal 用戶盡快采取安全措施阻止漏洞攻擊。
影響版本
Drupal < 9.0.9
Drupal < 8.9.10
Drupal < 8.8.12
Drupal < 7.75
安全版本
Drupal 9.0.9
Drupal 8.9.10
Drupal 8.8.12
Drupal 7.75
安全建議
升級Drupal至最新版本。
設置Drupal禁止用戶上傳如.tar、.tar.gz、.bz2、.tlz等格式的壓縮包。
相關鏈接
X0_0X
暫無描述