UCloud-202101-004:Drupal目录穿越漏洞安全警告
- 发布时间
- 更新时间
- 2021-01-22
- 漏洞等级
- High
- CVE编号
- CVE-2020-36193
漏洞详情
Drupal发布了Drupal 目录穿越漏洞的风险通告。drupal使用composer作为包管理系统，并引用了存在严重漏洞的"pear/archive_tar": "1.4.11"。pear Archive_Tar 在处理tar类型文件时未对符号链接进行严格校验导致目录穿越，使得drupal在处理 tar 压缩的文件时可以触发该漏洞，如果构造得当攻击者将获得drupal服务器控制权限。
影响范围
Drupal:Drupal: < 9.1.3
Drupal:Drupal: < 9.0.11
Drupal:Drupal: < 8.9.13
Drupal:Drupal: < 7.78
修复方案
注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外
1、升级到 drupal安全版本，并执行composer install更新依赖组件的版本。
Drupal 9.1 版本用户, 升级到Drupal 9.1.3
Drupal 9.0 版本用户, 升级到Drupal 9.0.11
Drupal 8.9 版本用户, 升级到Drupal 8.9.13
Drupal 7 版本用户, 升级到Drupal 7.78
2、通过安装UCloud hids 检测发现攻击者上传的恶意webshell；