安全研究人员成功修复开源内容管理框架 Drupal 8 多处高危漏洞
据外媒报道， Drupal 研究人员于 8 月 16 日发布安全报告，宣称已修复 Drupal 8 多处漏洞并在线更新安全补丁。研究显示这些漏洞影响 Drupal 8 多个系统组件，包括实体访问系统、REST API 与部分视图组件。
○ CVE-2017-6925
研究人员发现 Drupal 8.3.7 中存在一处高危漏洞（CVE-2017-6925），影响实体访问系统，允许攻击者查看、创建、删除或更新实体。不过，该漏洞仅影响不具备 UUID 实体，以及对同一实体不同版本有多种访问限制的实体系统。
○ CVE-2017-6924
在 Drupal 8 中存在另一绕过访问权限的关键漏洞（CVE-2017-6924），即当无访问权限的任何用户驻留在 REST API 时，允许通过 REST 发布评论。目前，此漏洞已被评估为高危漏洞，因为它影响具有 RESTful Web 服务模块与启用注释实体 REST 资源的站点。
○ CVE-2017-6923
在 Drupal 8 中还存在另一关键漏洞（CVE-2017-6923）影响视图组件。当用户创建视图时，可以选择使用 Ajax 通过过滤器参数更新数据。不过，视图子模块仅对配置为 Ajax 的视图进行访问。如果用户对视图具有访问限制，那么可以减轻系统损失，即使用户正使用另一模块显示。
目前，安全研究人员建议用户尽快全盘检测系统并将 Drupal 升级至最新版本。
原作者：Pierluigi Paganini，译者：青楚
本文由 HackerNews.cc 翻译整理，封面来源于 *** 。
转载请注明“转自 HackerNews.cc ” 并附上原文链接
“安全研究人员成功修复开源内容管理框架 Drupal 8 多处高危漏洞” 的相关文章
黑客正在利用伪造的执法机构传票窃取苹果、Google 等公司的用户数据
据报道，犯罪黑客正在通过一种有效的、狡猾的技术用偷来的执法部门的电子邮件从大型科技公司、ISP、运营商和社交媒体公司窃取用户数据。据网络安全记者Brian Krebs称，更具体地说，攻击者显然正在伪装成执法官员以获取传票特权数据。 一般来说，他们使用被破坏的执法部门电子邮件账户。 这种策略还依赖于...
惠普解决了 16 个影响笔记本电脑、台式机、PoS 系统的 UEFI 固件缺陷
近期，网络安全公司Binarly研究人员发现16个影响惠普企业设备的统一可扩展固件接口高危漏洞。攻击者可以利用这些漏洞植入固件，使其能够在操作系统更新后继续存在并绕过 UEFI安全启动、Intel Boot Guard和基于虚拟化的安全性。受影响的设备包括多个惠普企业设备，如笔记本电脑、...
微软警告 NOBELIUM 攻击技术愈加泛滥 谨防 HTML 代码夹带恶意软件
早在 5 月，微软就认定有俄罗斯背景的 NOBELIUM 黑客组织要对持续数月的 SolarWinds 网络攻击事件负责，并同企业、政府和执法机构达成了合作，以遏制此类网络攻击的负面影响。早些时候，微软更进一步地剖析了 NOBELIUM 使用的一套更加复杂的恶意软件传送方法。可知其用于造成破坏，并获...
Conti勒索软件团伙“内讧” 分享诸多内部聊天记录
在俄罗斯入侵乌克兰之后，Conti 勒索软件团伙于周五在其官方网站上发布了一条激进的亲俄信息后，该团队中的一名成员（据信是乌克兰人）泄露了该团伙的内部聊天记录。 这条公开的亲俄信息似乎让 Conti 的一些乌克兰成员感到不快，其中一人黑进了该团伙的内部 Jabber/XMPP 服务器。今天早些时候...
快速清洁 APP 要慎用，银行木马可能藏身其中
Hackernews 编译，转载请注明出处： 一个新的安卓银行木马通过官方的 Google Play Store 分发，安装量超过50,000次，其目的是针对56家欧洲银行，从受损的设备中获取敏感信息。 这款恶意软件被荷兰安全公司ThreatFabric命名为 Xenomorph，据说它与另...
零日漏洞允许在 macOS 系统上运行任意命令
独立安全研究员 Park Minchan 透露，苹果 macOS Finder 中存在一个零日漏洞，攻击者可以利用这个漏洞在运行任何 macOS 版本的 Mac 系统上运行任意命令。 这个漏洞是因为 macOS 处理 inetloc 文件的方式会使它运行嵌入在其中的命令。SSD Secure Di...
评论列表
发表评论
