Проект: Drupal Core
Дата публикации: 18 ноября 2020
Риск безопасности: Критический. 17/25 AC:Basic A:User CI:All II:All E:Theoretical TD:Default
Уязвимость: Удалённое исполнение кода.
¶Описание
Drupal ядро недостаточно санитизировало определённые расширения загружаемых файлов, что могло приводить к ситуации когда данные файлы обслуживались с неверным MIME типом или исполнялись как PHP файлы на некоторых конфигурациях серверов.
¶Решение
Обновиться до актуальных версий:
- Если используете Drupal 8.8.x, обновитесь до Drupal 8.8.11.
- Если используете Drupal 8.9.x, обновитесь до Drupal 8.9.9.
- Если используете Drupal 9.0.x, обновитесь до Drupal 9.0.8.
Дополнительно рекомендуется провести аудит всех ранее загруженных файлов и убедиться что у них корректные расширения. Уделите особое внимание файлам, расширение которых состоит из более чем одного, например filename.php.txt или filename.html.gif без нижнего подчёркивания (_) в расширении.
Следующие расширения файлов требуют особого внимания, они расцениваются как опасные даже если они имеют более одного расширения в названии:
- phar
- php
- pl
- py
- cgi
- asp
- js
- html
- htm
- phtml
Данный список не является исчерпывающим.
¶Ссылки
- SA-CORE-2020-012 (англ.), drupal.org, 18 ноября 2020
