Проект: Drupal Core
Дата публикации: 18 ноября 2020
Риск безопасности: Критический. 17/25 AC:Basic A:User CI:All II:All E:Theoretical TD:Default
Уязвимость: Удалённое исполнение кода.

Описание

Drupal ядро недостаточно санитизировало определённые расширения загружаемых файлов, что могло приводить к ситуации когда данные файлы обслуживались с неверным MIME типом или исполнялись как PHP файлы на некоторых конфигурациях серверов.

Решение

Обновиться до актуальных версий:

  • Если используете Drupal 8.8.x, обновитесь до Drupal 8.8.11.
  • Если используете Drupal 8.9.x, обновитесь до Drupal 8.9.9.
  • Если используете Drupal 9.0.x, обновитесь до Drupal 9.0.8.

Дополнительно рекомендуется провести аудит всех ранее загруженных файлов и убедиться что у них корректные расширения. Уделите особое внимание файлам, расширение которых состоит из более чем одного, например filename.php.txt или filename.html.gif без нижнего подчёркивания (_) в расширении.

Следующие расширения файлов требуют особого внимания, они расцениваются как опасные даже если они имеют более одного расширения в названии:

  • phar
  • php
  • pl
  • py
  • cgi
  • asp
  • js
  • html
  • htm
  • phtml

Данный список не является исчерпывающим.

Ссылки

Помощь и обратная связь

Если вы обнаружили ошибку или хотите внести улучшения, и желаете внести изменения самостоятельно при помощи Pull Request
Если вы желаете предложить улучшение для этого документа

Обратиться за помощью

Если вы не нашли то что искали, воспользуйтесь поиском.

Если вам нужна помощь с чем-то конкретным, обратитесь к сообществу.