CVE-2020-28948 | Drupal远程代码执行误差通告
宣布时间 2020-11-260x00 误差概述
产品名称 | CVE ID | 类 型 | 误差品级 | 远程使用 |
Drupal core | CVE-2020-28948 | 远程代码执行 | 高危 | 是 |
CVE-2020-28949 | 远程代码执行 | 高危 | 是 |
0x01 误差详情
Drupal是PHP编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和PHP开发框架（Framework）配合组成。PEAR全称为PHP扩展与应用库，它是一个PHP扩展及应用的一个代码客栈。
2020年11月25日,Drupal宣布清静通告，Drupal中保存两个远程代码执行误差（CVE-2020-28948和CVE-2020-28949）。详情如下：
Drupal远程代码执行误差（CVE-2020-28948）
Durpal使用的PEAR Archive_Tar是一款用于在PHP中建设、提取和列出tar文件的工具类。由于1.4.10及之前的Archive_Tar类在处置惩罚如.tar、.tar.gz、.bz2或.tlz等名堂的压缩包时过滤不严，可能导致保存PHAR反序列化误差，从而造成远程代码执行。
Drupal远程代码执行误差（CVE-2020-28949）
由于1.4.10及之前的Archive_Tar类具有：//文件名扫除功效，但该功效仅能防护phar://伪协议攻击，其它任何流包装器攻击（如file：//）仍然可以被攻击者乐成使用。
影响规模：
Drupal 7
Drupal 8.8及之前版本
Drupal 8.9
Drupal 9.0
0x02 处置惩罚建议
现在Drupal团队已经宣布了清静更新，建议升级至如下版本。
影响版本 | 修复版本 | 下载链接 |
Drupal 7 | Drupal 7.75 | https://www.drupal.org/project/drupal/releases/7.75 |
Drupal 8.8及之前版本 | Drupal 8.8.12 | https://www.drupal.org/project/drupal/releases/8.8.12 |
Drupal 8.9 | Drupal 8.9.10 | https://www.drupal.org/project/drupal/releases/8.9.10 |
Drupal 9.0 | Drupal 9.0.9 | https://www.drupal.org/project/drupal/releases/9.0.9 |
缓解步伐：
榨取用户上传.tar、.tar.gz、.bz2或.tlz类型的压缩包。
0x03 参考链接
https://www.drupal.org/sa-core-2020-013
https://www.tenable.com/cve/CVE-2020-28948
https://nvd.nist.gov/vuln/detail/CVE-2020-28948
0x04 时间线
2020-11-25 Drupal宣布清静通告
2020-11-26 VSRC宣布清静通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号