Drupal开发团队发布新版本，解决多个漏洞
Drupal开发人员发布了Drupal的 7.69、8.7.11和8.8.1版本，这些版本解决了多个漏洞，其中包括一个严重的文件处理问题。
Archive_Tar第三方库相关漏洞是本次修复中遇到的最难处理的。Archive_Tar是处理PHP中的TAR存档文件的工具。此漏洞影响到了Drupal 7x，8.7.x和8.8.x版本。Drupal的Jasper Mattsson报告了此漏洞。
Drupal针对漏洞SA-CORE-2019-012发布安全公告称：“ Drupal项目使用第三方库Archive_Tar，该库已发布的安全更新将会影响Drupal配置。如果允许上传.tar, .tar.gz, .bz2 or .tlz 文件并对其进行处理，则可能触发多个漏洞 。Drupal的最新版本将Archive_Tar升级为1.4.9，以降低文件处理漏洞严重性。”
专家指出某些配置容易受到攻击，允许上传TAR，TAR.GZ，BZ2或TLZ文件的网站有一定安全风险。
开发团队发布了1.4.9版本以解决此问题。
Drupal开发人员解决的其他漏洞是：
- Drupal core –中等严重–绕过权限– SA-CORE-2019-011 –该漏洞与Media Library有关，在某些情况下无法控制媒体应用使用权限；
- Drupal core –中等严重–多个漏洞– SA-CORE-2019-010；
- Drupal core –中等严重–拒绝服务– SA-CORE-2019-009 –DoS漏洞。
等级为“严重”的问题影响版本8.7.x和8.8.x。
消息来源：SecurityAffairs， 译者：r4938n，校审：吴烦恼
本文由 HackerNews.cc 翻译整理，封面来源于 *** 。
转载请注明“转自 HackerNews.cc ” 并附上原文链接
“Drupal开发团队发布新版本，解决多个漏洞” 的相关文章
美将 Ronin 网络 6.25 亿美元加密货币被盗事件归咎于朝鲜黑客组织
据Vice的报道，美财政部将Ronin网络6.25亿美元加密货币被盗事件归咎于朝鲜黑客组织。据悉，该网络是支持Axie Infinity游戏的区块链。当地时间周四，财政部更新了制裁措施，其中包括收到资金的钱包地址并将其归于Lazarus集团。 开发商集团Sky Mavis拥有的Ronin网络在关于...
以色列政府数个网站遭遇网络攻击：现正从瘫痪中恢复
以色列似乎正在从一场大规模的网络攻击中恢复过来。据Haaretz和Kan的Amichai Stein报道，攻击者在周一晚上攻陷了几个以色列政府网站，其中包括卫生部、内政部、司法部和福利部网站。总理办公室的网站也受到了影响。以色列国家网络管理局在一份声明中称，现在所有的网站都已重新上线。 虽然以色列政...
黑客组织 Lapsus$ 发起投票：根据结果公开公司数据
在攻破 NVIDIA 之后，嚣张的黑客组织 Lapsus$ 近日在 Telegram 上发出投票帖，通过投票结果来决定接下来公开哪家公司的数据。在投票选项中包括运营商 Vodafone 的源代码、Impresa 的源代码和数据库、MercadoLibre 和 MercadoPago 的数据库。投票...
设备接管风险警告！F5 发现一个关键 BIG-IP 远程执行漏洞
近日，应用交付领域（ADN）全球领导者F5公司发布了一项安全警告，其研究团队监测到一个关键漏洞正在被积极利用。漏洞的追踪代码为CVE-2022-1388，CVSS 3.0评分为9.8，危险等级非常高。该漏洞允许未经身份验证的网络攻击者执行任意系统命令，执行文件操作，并禁用BIG-IP上的服务。 根...
英国计划要求科技公司必须提供身份验证工具以应对匿名恶意用户
英国政府拟议中的一项措施将迫使科技公司开发工具，让用户过滤掉任何被认为 “合法但有害”的材料。这些新措施被添加到英国即将出台的《网络安全法案》中，该法案将强制要求数字平台承担起保护用户免受有害内容影响的责任。 根据英国政府周五宣布的新计划，Facebook、Google和Twitter等科技平...
安全人员发现 NSO 新的零点击攻击规避了苹果 iPhone 安全保护措施
公民实验室(Citizen Lab)的研究人员说，巴林人权活动家的iPhone今年早些时候被强大间谍软件悄悄入侵，打败了苹果公司为抵御秘密入侵而设计的新安全保护措施。这位仍在巴林并要求不透露姓名的活动人士是巴林人权中心的成员，该中心是一个获奖的非营利性组织，在海湾国家促进人权。 位于多伦多大学的互联...
评论列表
发表评论
