Drupal เป็น CMS อีกเจ้าหนึ่งที่มีผู้นิยมใช้เยอะมาก แต่ล่าสุดมีการเปิดเผยว่าพบช่องโหว่ร้ายแรงในส่วนหลักของ Drupal ทำให้เว็บไซด์อาจถูกยึดได้ง่ายๆ

ช่องโหว่ที่พบคือ Remote Code Execution (การสั่งคำสั่งจากระยะไกล) ใน Drupal คือ version 8.0 - 8.3.3 ได้รับผลกระทบคืออาจถูกยึดเครื่องจากระยะไกลได้ โดยได้รับ CVE คือ CVE-2017-6920 ซึ่งมีเว็บไซด์จำนวนมากที่ได้รับผลกระทบ สำหรับใครที่ให้บริการแนะนำให้ทำการ update เป็น version 8.3.4 โดยด่วน

ผลกระทบ: Remote Code Execution
ระบบที่ได้รับผลกระทบ: Drupal 8.0 < 8.3.4
วิธีการแก้ไข: Update เป็น version 8.3.4

ที่มา : securityfocus

Drupal ออก version 8.2.8 และ 8.3.1 อุดช่องโหว่รุนแรง
Drupal ถือเป็น CMS(Content Management System) ที่ได้รับความนิยมอันดับต้นๆจากทั้งหมด แต่ล่าสุดมีการปล่อย update ออกมาเพื่ออุดช่องโหว่ร้ายแรงทำให้สามารถ bypass การ login ได้ครับ แนะนำ update ด่วน
โดย Drupal ที่ได้รับผบกระทบประมาณ 150,000 เว็บไซด์ โดยเว็บไซด์ที่มีช่องโหว่จะต้องมีคุณสมบัติดังนี้

- Enable RESTFul Web service (rest module)
- อนุญาตให้ใช้ PATCH request
- Attacker สามารถหา user หรือ register user บนเว็บไซด์ที่เป็นเป้าหมายได้

version ที่ได้รับผลกระทบคือ Drupal 8.x < 8.2.8 และ 8.3.1 ครับ ตอนนี้ทาง Drupal ได้ออก version ใหม่เพื่ออุดช่องโหว่เรียบร้อยแล้วครับ
ระบบที่ได้รับผลกระทบ: Drupal 8.x < 8.2.8 และ 8.3.1
ผลกระทบ: Access Bypass (Critical Severity)
วิธีการแก้ไข: Update เป็น Drupal version 8.2.8 หรือ 8.3.1

 

ที่มา: drupal

แฮกเกอร์ชาวเคิร์ดใช้โค้ดเนมว่า “MuhmadEmad” จากกลุ่ม KurdLinux_Team ได้แฮกเว็บไซต์ที่เป็น subdomain ของเว็บไซต์อย่างเป็นทางการของบริษัท Dell (eir.

พบช่องโหว่ใน Drupal ซึ่งเป็นระบบจัดการเนื้อหาเว็บหรือที่เรียกกันว่า CMS (Content Management System) มีผลกระทบกับ Drupal เวอร์ชัน 6 และ 7 แฮกเกอร์สามารถทำการ " Access bypass " เข้าถึงบัญชีผู้ใช้ของผู้ดูแลระบบได้

จากข่าวรายงานว่า ทาง Drupal ได้ยอมรับว่ามีช่องโหว่จริงและแนะนำให้อัพเกรด patched ไปยังเวอร์ชันใหม่ล่าสุด คือ เวอร์ชัน 6.30 และ 7.26

ที่มา : ehackingnews