漏洞描述
Drupal 官方發(fā)布安全公告修復(fù)了 Drupal 遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2020-13671），由于Drupal core 沒有正確地處理上傳文件中的某些文件名，導(dǎo)致在特定配置下后續(xù)處理中文件會被錯誤地解析為其他MIME類型，未授權(quán)的遠(yuǎn)程攻擊者可通過上傳特定文件名的惡意文件，從而實現(xiàn)任意代碼執(zhí)行 。請相關(guān)用戶盡快采取措施進(jìn)行防護(hù)。
Drupal是使用PHP語言編寫的開源內(nèi)容管理框架（CMF），由內(nèi)容管理系統(tǒng)（CMS）和PHP開發(fā)框架（Framework）共同構(gòu)成。
漏洞編號
CVE-2020-13671
漏洞危害
攻擊者利用此漏洞，可實現(xiàn)遠(yuǎn)程代碼執(zhí)行。
相關(guān)用戶可通過查看當(dāng)前使用的Drupal版本來確定是否受該漏洞影響，登錄后臺后，依次點(diǎn)擊“管理”-“日志”-“報告狀態(tài)”，即可查看當(dāng)前的應(yīng)用版本：
如果當(dāng)前版本在受影響范圍內(nèi)，則存在安全風(fēng)險。
漏洞等級
高危
受影響版本
- Drupal < 7.7.4
- Drupal < 8.8.11
- Drupal < 8.9.9
- Drupal < 9.0.8
注：8.8.x之前的Drupal 8版本官方已經(jīng)停止維護(hù)。
修復(fù)方案
目前官方已發(fā)布新版本修復(fù)了此漏洞，請受影響的用戶盡快升級至對應(yīng)的新版本進(jìn)行防護(hù)：
| 修復(fù)版本 | 下載鏈接 |
| Drupal?7.7.4 | https://www.drupal.org/project/drupal/releases/7.74 |
| Drupal?8.8.11 | https://www.drupal.org/project/drupal/releases/8.8.11 |
| Drupal?8.9.9 | https://www.drupal.org/project/drupal/releases/8.9.9 |
| Drupal?9.0.8 | https://www.drupal.org/project/drupal/releases/9.0.8 |
?
參考鏈接
- https://www.drupal.org/sa-core-2020-012