内容简介：北京时间2月21日，360CERT 监控到 Drupal 发布的重要安全更新，其中修补了一枚远程代码执行漏洞，漏洞编号为CVE-2019-6340。经过研判，漏洞是由于传入 RESTful Web服务的数据，未做严格校验造成的。漏洞成功利用可导致目标主机上远程代码执行。RESTful 服务默认不开启，大大降低漏洞风险。为安全起见，建议使用Drupal 的用户及时进行版本升级。漏洞是由Drupal 未对 RESTful Web 的数据进行严格效验造成。如果网站开启了RESTful Web服务，并且接受PATC
0x00 漏洞背景
北京时间2月21日，360CERT 监控到 Drupal 发布的重要安全更新，其中修补了一枚远程代码执行漏洞，漏洞编号为CVE-2019-6340。经过研判，漏洞是由于传入 RESTful Web服务的数据，未做严格校验造成的。漏洞成功利用可导致目标主机上远程代码执行。RESTful 服务默认不开启，大大降低漏洞风险。为安全起见，建议使用Drupal 的用户及时进行版本升级。
0x01 漏洞详情
漏洞是由Drupal 未对 RESTful Web 的数据进行严格效验造成。如果网站开启了RESTful Web服务，并且接受PATCH 、 POST请求，或站点中开启了其他web服务模块，将会出现反序列化问题，进而造成代码执行。
漏洞利用需要多个前置条件，大大削弱了漏洞实际影响。
0x02 漏洞影响
漏洞影响Drupal 8.6.x、Drupal 8.5.x 及 Drupal 7中的部分组件。详细版本信息如下：
- Drupal 8.6.9 及以下版本
- Drupal 8.6.10 及以下版本
- 影响组件
- RESTful Web Services
- JSON:API
- Link
- Metatag
- Video
- Paragraphs
- Translation Management Tool
- Font Awesome lcons
0x03 安全建议
对于该漏洞，可以禁用所有Web服务模块，或禁止处理PUT / PATCH / POST请求进行缓解。
因为影响核心组件，强烈建议广大用户按需进行版本升级，更新地址：
- https://www.drupal.org/project/drupal/releases/8.6.10
- https://www.drupal.org/project/drupal/releases/8.6.10
- https://www.drupal.org/security/contrib
0x04 时间线
2019-02-21 Drupal 发布更新公告
2019-02-21 360CERT发布预警公告
0x05 参考链接
以上就是本文的全部内容，希望本文的内容对大家的学习或者工作能带来一定的帮助，也希望大家多多支持 码农网
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
信息检索导论
Christopher D.Manning、Hinrich Schütze、Prabhakar Raghavan / 王斌 / 人民邮电出版社 / 201008 / 69.00元
封面图片为英国伯明翰塞尔福瑞吉百货大楼，其极具线条感的轮廓外型优美，犹如水波的流动。其外表悬挂了1.5万个铝碟，创造出一种极具现代气息的纹理装饰效果，有如夜空下水流的波光粼粼，闪烁于月光之下，使建筑的商业氛围表现到极致。设计该建筑的英国“未来系统建筑事物所”，将商场内部围合成一个顶部采光的中庭，配以交叉的自动扶梯，使购物环境呈现出一种凝聚的向心力和商业广告的展示效应。作为英国第二商业城市伯明翰的建......一起来看看 《信息检索导论》 这本书的介绍吧!
