安全研究人员成功修复开源内容管理框架 Drupal 8 多处高危漏洞
据外媒报道， Drupal 研究人员于 8 月 16 日发布安全报告，宣称已修复 Drupal 8 多处漏洞并在线更新安全补丁。研究显示这些漏洞影响 Drupal 8 多个系统组件，包括实体访问系统、REST API 与部分视图组件。
○ CVE-2017-6925
研究人员发现 Drupal 8.3.7 中存在一处高危漏洞（CVE-2017-6925），影响实体访问系统，允许攻击者查看、创建、删除或更新实体。不过，该漏洞仅影响不具备 UUID 实体，以及对同一实体不同版本有多种访问限制的实体系统。
○ CVE-2017-6924
在 Drupal 8 中存在另一绕过访问权限的关键漏洞（CVE-2017-6924），即当无访问权限的任何用户驻留在 REST API 时，允许通过 REST 发布评论。目前，此漏洞已被评估为高危漏洞，因为它影响具有 RESTful Web 服务模块与启用注释实体 REST 资源的站点。
○ CVE-2017-6923
在 Drupal 8 中还存在另一关键漏洞（CVE-2017-6923）影响视图组件。当用户创建视图时，可以选择使用 Ajax 通过过滤器参数更新数据。不过，视图子模块仅对配置为 Ajax 的视图进行访问。如果用户对视图具有访问限制，那么可以减轻系统损失，即使用户正使用另一模块显示。
目前，安全研究人员建议用户尽快全盘检测系统并将 Drupal 升级至最新版本。
原作者：Pierluigi Paganini，译者：青楚
本文由 HackerNews.cc 翻译整理，封面来源于 *** 。
转载请注明“转自 HackerNews.cc ” 并附上原文链接
“安全研究人员成功修复开源内容管理框架 Drupal 8 多处高危漏洞” 的相关文章
研究人员发现针对乌克兰的第 3 款擦除恶意软件
研究人员近日发现了针对乌克兰计算机的新型擦除恶意软件（以破坏关键文件和数据为目的），这是俄乌冲突以来发现的第 3 款擦除恶意软件。 这种被称为 CaddyWiper 的恶意软件是由总部位于斯洛伐克的网络安全公司 ESET 的研究人员发现的，他们在周一发布的推文中分享了细节。 据研究人员称，该...
微软曝光 Nimbuspwn 漏洞组合 可在 Linux 本地提权部署恶意软件
近日名为 Nimbuspwn 的漏洞组合被曝光，可以让本地攻击者在 Linux 系统上提升权限，部署从后门到勒索软件等恶意软件。微软的安全研究人员在今天的一份报告中披露了这些问题，并指出它们可以被串联起来，在一个脆弱的系统上获得 root 权限。 Nimbuspwn 存在于 networkd-dis...
CISA 与 FBI 在 Viasat 网络攻击后发出警告 美国卫星通讯亦面临安全威胁
因担心俄乌冲突引发的近期针对欧洲卫星网络发起的攻击可能很快蔓延到美国本土，政府机构已经向卫星通信网络运营商发出了“潜在威胁”预警。在美国网络安全与基础设施安全局（CISA）和联邦调查局（FBI）本周联合发布的一份公告中，其敦促卫星通讯（SATCOM）网络提供商和基础设施组织加强安全防御。若被入侵，或...
新型 LokiLocker 勒索软件会擦除整个 PC 上的文件
黑莓威胁情报（BlackBerry Threat Intelligence）团队刚刚发出警报 —— 一款自 2021 年 8 月存续至今的 LokiLocker 勒索软件，正在互联网上传播肆虐。据悉，该恶意软件采用了 AES + RSA 的加密方案，若用户拒绝在指定期限内支付赎金，它就会擦除其 PC...
意大利对 Clearview AI 罚款 2000 万欧元并令其删除数据
一家欧洲隐私监督机构已经制裁了有争议的面部识别公司Clearview AI，该公司从互联网上搜刮自拍，积累了约100亿张脸的数据库，为其出售给执法部门的身份匹配服务。意大利的数据保护机构今天宣布对Clearview AI违反欧盟法律的行为处以2000万欧元罚款。 同时命令这家有争议的公司删除其...
伪造“紧急搜查令”泛滥 美议员呼吁推动“数字真实性”立法
Krebs On Security 周二警告称：黑客正越来越多地利用受感染的政府和警察部门的电子邮件账户，以从移动运营商、互联网服务提供商（ISP）和社交媒体公司榨取敏感的客户信息。周四，美国参议院内精通技术的议员之一表示，其对这份报告感到很是不安，并且已向科技企业和联邦机构发去询问，以了解此类活动...
评论列表
发表评论
