ทีมงาน Drupal ประกาศออกแพตช์แก้ไขช่องโหว่ระดับความรุนแรงสูง SA-CORE-2018–002 (CVE-2018-7600) เป็นช่องโหว่ประเภท Remote Code Execution หรือช่องโหว่ที่สามารถรันคำสั่งใดๆ บนเครื่องเว็บเซิฟเวอร์ที่ติดต้ัง Drupal ได้โดยไม่ต้องพิสูจน์ตัวตน มีผลกระทบโดยตรงกับ Drupal เวอร์ชั่น 7.x, 8.3.x, 8.4.x และ 8.5.x

รายละเอียดช่องโหว่
ในแพตช์ซึ่งถูกเผยแพร่ออกมาพร้อมกับเวอร์ชั่นใหม่ของ Drupal แพตช์มีการเพิ่มไฟล์ขึ้นมาหนึ่งไฟล์คือ request-sanitizer.

โครงการ Drupal ได้มีการประกาศแจ้งเตือนช่องโหว่ด้านความปลอดภัยรหัส SA-CORE-2018-0001 วันนี้ โดยในประกาศดังกล่าวนี้ประกอบไปด้วยช่องโหว่ 7 ช่องโหว่ กระทบเวอร์ชันต่ำกว่า 8.4.5 และ 7.57 และมีความร้ายแรงอยู่ในระบบ critical เกือบทั้งสิ้น

สำหรับสองจากเจ็ดช่องโหว่ระดับร้ายแรงสูงสุดนั้น ช่องโหว่แรกทำให้ผู้ใช้งานที่ทำการโพสต์คอมเมนต์สามารถเห็นคอมเมนต์รวมไปถึงข้อมูลอื่นๆ ภายใต้คอมเมนต์นั้นทั้งที่ไม่มีสิทธิ์ในการเข้าถึงหรือเข้าดูได้ ส่วนในช่องโหว่ที่สองนั้นเป็นช่องโหว่ที่เกิดจากฟังก์ชันป้องกันการโจมตีแบบ XSS ที่ทำอย่างไม่สมบูรณ์ส่งผลให้ผู้โจมตียังสามารถโจมตีแบบ XSS ได้

Recommendation: ช่องโหว่ทั้งหมดได้รับการแพตช์แล้วใน Drupal เวอร์ชัน 8.4.5 และเวอร์ชัน 7.57 แนะนำให้อัปเดตเพื่อความปลอดภัยโดยด่วน
Affected Platform: Drupal 8 ก่อนรุ่น 8.4.5, Drupal 7 ก่อนรุ่น 7.57

ที่มา: drupal

Drupal เป็น CMS อีกเจ้าหนึ่งที่มีผู้นิยมใช้เยอะมาก แต่ล่าสุดมีการเปิดเผยว่าพบช่องโหว่ร้ายแรงในส่วนหลักของ Drupal ทำให้เว็บไซด์อาจถูกยึดได้ง่ายๆ

ช่องโหว่ที่พบคือ Remote Code Execution (การสั่งคำสั่งจากระยะไกล) ใน Drupal คือ version 8.0 - 8.3.3 ได้รับผลกระทบคืออาจถูกยึดเครื่องจากระยะไกลได้ โดยได้รับ CVE คือ CVE-2017-6920 ซึ่งมีเว็บไซด์จำนวนมากที่ได้รับผลกระทบ สำหรับใครที่ให้บริการแนะนำให้ทำการ update เป็น version 8.3.4 โดยด่วน

ผลกระทบ: Remote Code Execution
ระบบที่ได้รับผลกระทบ: Drupal 8.0 < 8.3.4
วิธีการแก้ไข: Update เป็น version 8.3.4

ที่มา : securityfocus

Drupal ออก version 8.2.8 และ 8.3.1 อุดช่องโหว่รุนแรง
Drupal ถือเป็น CMS(Content Management System) ที่ได้รับความนิยมอันดับต้นๆจากทั้งหมด แต่ล่าสุดมีการปล่อย update ออกมาเพื่ออุดช่องโหว่ร้ายแรงทำให้สามารถ bypass การ login ได้ครับ แนะนำ update ด่วน
โดย Drupal ที่ได้รับผบกระทบประมาณ 150,000 เว็บไซด์ โดยเว็บไซด์ที่มีช่องโหว่จะต้องมีคุณสมบัติดังนี้

- Enable RESTFul Web service (rest module)
- อนุญาตให้ใช้ PATCH request
- Attacker สามารถหา user หรือ register user บนเว็บไซด์ที่เป็นเป้าหมายได้

version ที่ได้รับผลกระทบคือ Drupal 8.x < 8.2.8 และ 8.3.1 ครับ ตอนนี้ทาง Drupal ได้ออก version ใหม่เพื่ออุดช่องโหว่เรียบร้อยแล้วครับ
ระบบที่ได้รับผลกระทบ: Drupal 8.x < 8.2.8 และ 8.3.1
ผลกระทบ: Access Bypass (Critical Severity)
วิธีการแก้ไข: Update เป็น Drupal version 8.2.8 หรือ 8.3.1

 

ที่มา: drupal

แฮกเกอร์ชาวเคิร์ดใช้โค้ดเนมว่า “MuhmadEmad” จากกลุ่ม KurdLinux_Team ได้แฮกเว็บไซต์ที่เป็น subdomain ของเว็บไซต์อย่างเป็นทางการของบริษัท Dell (eir.

พบช่องโหว่ใน Drupal ซึ่งเป็นระบบจัดการเนื้อหาเว็บหรือที่เรียกกันว่า CMS (Content Management System) มีผลกระทบกับ Drupal เวอร์ชัน 6 และ 7 แฮกเกอร์สามารถทำการ " Access bypass " เข้าถึงบัญชีผู้ใช้ของผู้ดูแลระบบได้

จากข่าวรายงานว่า ทาง Drupal ได้ยอมรับว่ามีช่องโหว่จริงและแนะนำให้อัพเกรด patched ไปยังเวอร์ชันใหม่ล่าสุด คือ เวอร์ชัน 6.30 และ 7.26

ที่มา : ehackingnews