国产精品导航一区二区丨动漫成人无码精品一区二区三区丨久久国内精品自在自线波多野结氏丨久久久久久久久久久网站丨亚洲日韩乱码中文无码蜜桃臀网站丨午夜成人无码福利免费视频丨最新中文乱码字字幕在线丨夜夜骑夜夜操丨久久久久久久久久久av丨女人久久丨日本乱偷互换人妻中文字幕丨日本猛少妇色xxxxx猛交图片丨亚洲欧洲精品成人丨国产人成高清在线视频99最全资源丨91文字幕巨乱亚洲香蕉丨日本欧美视频在线观看丨三级黄毛片丨114一级片丨成人免费午夜福利片在线观看丨国产主播福利在线丨黄色的一级片丨久久99国产精品女同丨三区四区丨久久精品视频一区二区三区丨日韩一区二区三区在线视频

安全公告編號:CNTA-2018-0017

2018年4月26日，國家信息安全漏洞共享平臺（CNVD）收錄了Drupal Core遠程代碼執行漏洞（CNVD-2018-08523，對應CVE-2018-7602）。綜合利用上述漏洞，攻擊者可實現遠程代碼執行攻擊。部分漏洞驗證代碼已被公開，近期被不法分子利用進行大規模攻擊的可能性較大，廠商已發布補丁進行修復。

一、漏洞情況分析

Drupal是一個由Dries Buytaert創立的自由開源的內容管理系統，用PHP語言寫成。Drupal在業界常被視為內容管理框架，而與一般意義上的內容管理系統存在差異。

2018年3月29日，CNVD收錄了Drupal 6，7，8多個子版本存在遠程代碼執行漏洞，遠程攻擊者可利用該漏洞執行任意代碼（http://www.cnvd.org.cn/webinfo/show/4463）。但由于Drupal官方對該漏洞修復不完全，導致補丁可以被繞過，造成任意代碼執行：Drupal官方發布的漏洞補丁通過過濾帶有＃的輸入來處理請求數據（GET，POST，COOKIE，REQUEST），但是Drupal應用還會處理path?destination=URL形式的請求，發起請求需要對destination=URL中的URL進行編碼，攻擊者對URL中的#進行兩次編碼即可繞過sanitize()函數的過濾，從而實現遠程代碼執行。

CNVD對該漏洞的綜合評級為“高危”。

二、漏洞影響范圍

受影響版本：

Drupal的7.x和8.x版本受此漏洞影響。

修復版本：

Drupal 7.59，Drupal 8.5.3，Drupal 8.4.8

CNVD秘書處對該系統在全球的分布情況進行了統計，全球系統規模約為30.9萬，用戶量排名前五的分別是美國（48.5%）、德國（8.1%）、法國（4%）、英國（3.8%）和俄羅斯（3.7%），而在我國境內分布較少（0.88%）。

三、漏洞修復建議

目前，廠商已發布補丁和安全公告以修復該漏洞，具體修復建議如下：

Drupal 7.x請升級到Drupal 7.59版本。

官方給出7.X版本補丁，若用戶無法立即升級版本，請更新補丁，補丁地址為：

https://cgit.drupalcode.org/drupal/rawdiff/?h=7.x&id=080daa38f265ea28444c540832509a48861587d0

Drupal 8.5.x請升級到Drupal 8.5.3版本

官方給出8.X版本補丁，若用戶無法立即升級版本，請更新補丁，補丁地址為：

https://cgit.drupalcode.org/drupal/rawdiff/?h=8.5.x&id=bb6d396609600d1169da29456ba3db59abae4b7e

Drupal 8.4.x版本請升級到8.4.8版本，官方給出8.X版本補丁，若用戶無法立即升級版本，請更新補丁，補丁地址為：

https://cgit.drupalcode.org/drupal/rawdiff/?h=8.5.x&id=bb6d396609600d1169da29456ba3db59abae4b7e

?

附：參考鏈接：

https://www.drupal.org/sa-core-2018-004

https://nvd.nist.gov/vuln/detail/CVE-2018-7602

http://www.cnvd.org.cn/flaw/show/CNVD-2018-08523