UCloud-202011-004:Drupal 远程代码执行漏洞安全警告
- 发布时间
- 更新时间
- 2020-11-26
- 漏洞等级
- High
- CVE编号
- CVE-2020-28949、CVE-2020-28948
漏洞详情
Drupal官方发布安全更新，修复了Drupal 远程代码执行漏洞（CVE-2020-28949、CVE-2020-28948）。Drupal使用了PEAR Archive_Tar作为依赖库，在处理如.tar、.tar.gz、.bz2或.tlz等格式的压缩包时，由于过滤不严，可能导致存在PHAR反序列化漏洞，从而造成远程代码执行。
影响范围
Drupal < 9.0.9
Drupal < 8.9.10
Drupal < 8.8.12
Drupal < 7.75
修复方案
注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外
1、Drupal 升级到最新版本；
Drupal 9.0.9
Drupal 8.9.10
Drupal 8.8.12
Drupal 7.75
2、设置Drupal禁止用户上传如.tar、.tar.gz、.bz2、.tlz等格式的压缩包。