CVE-2020-28948 | Drupal远程代码执行漏洞通告
发布时间 2020-11-260x00 漏洞概述
产品名称 | CVE ID | 类 型 | 漏洞等级 | 远程利用 |
Drupal core | CVE-2020-28948 | 远程代码执行 | 高危 | 是 |
CVE-2020-28949 | 远程代码执行 | 高危 | 是 |
0x01 漏洞详情
Drupal是PHP编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和PHP开发框架（Framework）共同构成。PEAR全称为PHP扩展与应用库，它是一个PHP扩展及应用的一个代码仓库。
2020年11月25日,Drupal发布安全公告，Drupal中存在两个远程代码执行漏洞（CVE-2020-28948和CVE-2020-28949）。详情如下：
Drupal远程代码执行漏洞（CVE-2020-28948）
Durpal使用的PEAR Archive_Tar是一款用于在PHP中创建、提取和列出tar文件的工具类。由于1.4.10及之前的Archive_Tar类在处理如.tar、.tar.gz、.bz2或.tlz等格式的压缩包时过滤不严，可能导致存在PHAR反序列化漏洞，从而造成远程代码执行。
Drupal远程代码执行漏洞（CVE-2020-28949）
由于1.4.10及之前的Archive_Tar类具有：//文件名清除功能，但该功能仅能防护phar://伪协议攻击，其它任何流包装器攻击（如file：//）仍然可以被攻击者成功利用。
影响范围：
Drupal 7
Drupal 8.8及之前版本
Drupal 8.9
Drupal 9.0
0x02 处置建议
目前Drupal团队已经发布了安全更新，建议升级至如下版本。
影响版本 | 修复版本 | 下载链接 |
Drupal 7 | Drupal 7.75 | https://www.drupal.org/project/drupal/releases/7.75 |
Drupal 8.8及之前版本 | Drupal 8.8.12 | https://www.drupal.org/project/drupal/releases/8.8.12 |
Drupal 8.9 | Drupal 8.9.10 | https://www.drupal.org/project/drupal/releases/8.9.10 |
Drupal 9.0 | Drupal 9.0.9 | https://www.drupal.org/project/drupal/releases/9.0.9 |
缓解措施：
禁止用户上传.tar、.tar.gz、.bz2或.tlz类型的压缩包。
0x03 参考链接
https://www.drupal.org/sa-core-2020-013
https://www.tenable.com/cve/CVE-2020-28948
https://nvd.nist.gov/vuln/detail/CVE-2020-28948
0x04 时间线
2020-11-25 Drupal发布安全公告
2020-11-26 VSRC发布安全通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号