Drupalgeddon2: уязвимость, о которой предупреждали авторы Drupal, действительно оказалась опасной

На прошлой неделе разработчики CMS Drupal анонсировали скорый выход патчей для некой «чрезвычайно критической» уязвимости, попросили администраторов подготовиться к выходу патчей заранее и установить обновления сразу же, как только те станут доступны 28 марта 2018 года. Дело в том, что эксплоит для опасной проблемы, по мнению разработчиков, может быть создан за считанные дни или даже часы.

Сообщалось, что исправления будут представлены для для Drupal 7.x, 8.3.x, 8.4.x, и 8.5.x. Серьезность неизвестной проблемы также подчеркивал тот факт, что разработчики сделали исключение и обещали выпустить «заплатки» для старых версий CMS, которые более не поддерживаются и в нормальных обстоятельствах давно не получают исправлений.

 

28 марта наступило, и авторы Drupal не только опубликовали обещанные патчи, но и рассказали о самой «чрезвычайно критической» проблеме в ядре CMS. Уязвимость получила идентификатор CVE-2018-7600. Она позволяет атакующему выполнить произвольный код в самом «сердце» CMS, полностью скомпрометировав уязвимый сайт. Злоумышленнику не потребуется регистрация, аутентификация и какие-либо сложные манипуляции. Фактически, достаточно просто обратиться к определенному URL-адресу.

В сети проблеме немедленно дали имя Drupalgeddon2 – в честь старой уязвимости Drupalgeddon (CVE-2014-3704, SQL-инъекция), обнаруженной в 2014 году и тогда ставшей причиной взлома множества сайтов под управлением Drupal.

Пока в сети не опубликован код proof-of-concept эксплоитов и, по данным разработчиков Drupal, атак с использованием нового бага пока зафиксировано не было. Однако пользователи и исследователи уже изучают патчи и ищут внесенные разработчиками изменения, чтобы обнаружить корень проблемы.

Посмотреть изображение в Твиттере

Посмотреть изображение в Твиттере

Arto Bendiken@bendiken
 
 

The essence of the diff between Drupal 7.57 and 7.58 (CVE-2018-7600, SA-CORE-2018-002) appears to be this.

 
67 человек(а) говорят об этом
 
 

Посмотреть изображение в ТвиттереПосмотреть изображение в Твиттере

Bob 🧙🏻‍♂️@bopp
 
 

Drupal amateur hour: A CRITICAL SECURITY update, that consists of «adding input validation». What is this? F’ing 1997? .

Literally all that’s changed / added:

 
30 человек(а) говорят об этом
 
 

Тем временем, авторы Drupal еще раз повторяют, что, по их мнению, эксплоит будет создан в ближайшие дни и призывают владельцев сайтов и администраторов установить обновления немедленно.

СтопВирус удаление вирусов с сайта Drupal