Symfony漏洞让Drupal站点容易受到黑客攻击

x
用微信扫描二维码
分享至好友和朋友圈

  

  现在是时候更新你的Drupal网站了。

  Drupal是一个流行的开源内容管理系统,它发布了一个新版本来修补安全绕过漏洞,该漏洞可能允许远程攻击者控制受影响的网站。CVE-2018-14773漏洞,驻留在名为Symfony HttpFoundation组件的第三方库中,该组件在Drupal Core中使用并影响8.5.6之前的Drupal 8.x版本。

  由于Symfony(一个带有一组PHP组件的Web应用程序框架)正在被许多项目使用,因此该漏洞可能会使许多Web应用程序面临被黑客攻击的风险。

  
Symfony组件漏洞

  根据Symfony发布的一项advisory,安全绕过漏洞的起源是由于Symfony支持遗留和危险的HTTP头部。

  Symfony说,

  

  支持(遗留)IIS标头,允许用户通过X-Original-URL或X-Rewrite-URL HTTP请求标头覆盖URL中的路径,允许用户访问一个URL但让Symfony返回另一个URL,可以绕过更高级别缓存和Web服务器的限制。

  

  远程攻击可以使用构造的“X-Original-URL”或“X-Rewrite-URL”HTTP标头来利用,该值会覆盖请求URL中的路径,从而可能绕过访问限制并导致目标系统呈现另一个URL。

  这个漏洞已在Symfony版本2.7.49,2.8.44,3.3.18,3.4.14,4.0.14和4.1.3中修复,Drupal已在其最新版本8.5.6中修补了该问题。

  
Zend Framework中存在相同的漏洞

  除了Symfony之外,Drupal团队还发现Drupal Core中包含的Zend Feed和Diactoros库中也存在类似的漏洞,他们将其命名为“URL Rewrite漏洞”。

  然而,流行的CMS表示Drupal Core不会使用易受攻击的功能,但建议用户修补他们的网站,如果他们的网站或模块直接使用Zend Feed或Diactoros。

  Drupal为数百万个网站提供支持,不幸的是,此CMS最近一直被一个名为Drupalgeddon2的高危远程执行漏洞主动攻击。

  因此,在黑客开始利用新漏洞控制你的网站之前,强烈建议尽快更新你的网站。

  

  

特别声明:本文为网易自媒体平台“网易号”作者上传并发布,仅代表该作者观点。网易仅提供信息发布平台。

跟贴 跟贴 0 参与 0
© 1997-2019 网易公司版权所有 About NetEase | 公司简介 | 联系方法 | 招聘信息 | 客户服务 | 隐私政策 | 广告服务 | 网站地图 | 意见反馈 | 不良信息举报

嘶吼RoarTalk

不一样的互联网安全新视界

头像

嘶吼RoarTalk

不一样的互联网安全新视界

3228

篇文章

6987

人关注

列表加载中...
请登录后再关注
x

用户登录

网易通行证/邮箱用户可以直接登录:
忘记密码