Drupal-ի ձևերի մշակման սխալը թույլ էր տալիս ցանկացածին կոդ կատարել միլիոնավոր Drupal կայքերում։ Սկաներները այն փնտրում են մինչ օրս։
Հրապարակվել է՝ 2018 թ. մարտի 28
2018 թ. մարտի 28-ին Drupal-ի անվտանգության թիմը թողարկեց շտապ թարմացում Drupal-ի միջուկի խոցելիության համար, որը հետագայում կոչվեց Drupalgeddon2։ Այն պատճառով, թե ինչպես էր Drupal-ը մշակում ձևերի որոշ տվյալներ, հարձակվողը առանց նույնականացման կարող էր կոդ կատարել սերվերում։ Աշխատող էքսփլոյթները հայտնվեցին մոտ երկու շաբաթ անց, որից հետո՝ զանգվածային հարձակումներ մայներների և backdoor-ների տեղադրմամբ։
| CVE | Վտանգավորություն | Խոցելի տարբերակներ | Ուղղված է |
|---|---|---|---|
CVE-2018-7600 | Կրիտիկական (կոդի հեռակա կատարում) | Drupal 6, 7 և 8՝ մինչև ուղղումը | 7.58, 8.3.9, 8.4.6, 8.5.1 և ավելի նոր |
Աղբյուրներ՝ Drupal SA-CORE-2018-002, NVD CVE-2018-7600.
Օգնության կարիք ունե՞ք։ Կապվեք CySec-ի հետ՝ անվճար խորհրդատվության համար։
Էքսփլոյթների նոր շղթան root իրավունքներ է տալիս տեղային N-central սերվերներում, հարձակումները սկսվեցին հրապարակումից մի քանի ժամ անց։ Լիարժեք ուղղում դեռ չկա․ շտապ ստուգումներ։
Կարդալ հոդվածըOutlook-ի շահագործվող խոցելիությունը հատուկ ֆայլի միջոցով փոխանցում է NTLM հեշը։ Այս ամիս Microsoft-ը ուղղել է ավելի քան 1000 խոցելիություն․ ահա առաջնահերթությունները։
Կարդալ հոդվածըGoogle-ը ուղղեց Chrome-ում արդեն շահագործվող use-after-free խոցելիությունը։ Ուղղումն աշխատում է միայն բրաուզերի վերագործարկումից հետո․ ինչպես համոզվել, որ յուրաքանչյուր համակարգիչ պաշտպանված է։
Կարդալ հոդվածըՄեր ինժեներները կուսումնասիրեն ձեր ներկայիս համակարգը և կառաջարկեն կոնկրետ բարելավումներ։
