CVE-2020-28948 | Drupal远程代码执行缝隙公告
颁布功夫 2020-11-260x00 缝隙概述
产品名称 | CVE ID | 类 型 | 缝隙等级 | 远程利用 |
Drupal core | CVE-2020-28948 | 远程代码执行 | 高危 | 是 |
CVE-2020-28949 | 远程代码执行 | 高危 | 是 |
0x01 缝隙详情
Drupal是PHP编写的开源内容治理框架（CMF），它由内容治理系统（CMS）和PHP开发框架（Framework）共同组成。PEAR全称为PHP扩大与利用库，它是一个PHP扩大及利用的一个代码仓库。
2020年11月25日,Drupal颁布安全布告，Drupal中存在两个远程代码执行缝隙（CVE-2020-28948和CVE-2020-28949）。详情如下：
Drupal远程代码执行缝隙（CVE-2020-28948）
Durpal使用的PEAR Archive_Tar是一款用于在PHP中创建、提取和列出tar文件的工具类。由于1.4.10及之前的Archive_Tar类在处置如.tar、.tar.gz、.bz2或.tlz等体式的压缩包时过滤不严，可能导致存在PHAR反序列化缝隙，从而造成远程代码执行。
Drupal远程代码执行缝隙（CVE-2020-28949）
由于1.4.10及之前的Archive_Tar类拥有：//文件名断根职能，但该职能仅能防护phar://伪和谈攻击，其它任何流包装器攻击（如file：//）依然能够被攻击者成功利用。
影响领域：
Drupal 7
Drupal 8.8及之前版本
Drupal 8.9
Drupal 9.0
0x02 措置建议
目前Drupal团队已经颁布了安全更新，建议升级至如下版本。
影响版本 | 建复版本 | 下载链接 |
Drupal 7 | Drupal 7.75 | https://www.drupal.org/project/drupal/releases/7.75 |
Drupal 8.8及之前版本 | Drupal 8.8.12 | https://www.drupal.org/project/drupal/releases/8.8.12 |
Drupal 8.9 | Drupal 8.9.10 | https://www.drupal.org/project/drupal/releases/8.9.10 |
Drupal 9.0 | Drupal 9.0.9 | https://www.drupal.org/project/drupal/releases/9.0.9 |
缓解措施：
不容用户上传.tar、.tar.gz、.bz2或.tlz类型的压缩包。
0x03 参考链接
https://www.drupal.org/sa-core-2020-013
https://www.tenable.com/cve/CVE-2020-28948
https://nvd.nist.gov/vuln/detail/CVE-2020-28948
0x04 功夫线
2020-11-25 Drupal颁布安全布告
2020-11-26 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号