服务公告

全部公告 > 安全公告 > Drupal远程代码执行漏洞(CVE-2020-36193)

Drupal远程代码执行漏洞(CVE-2020-36193)

2021-01-21

一、概要

近日,华为云关注到Drupal官方发布安全公告,披露Drupal存在一处远程代码执行漏洞(CVE-2020-36193),该漏洞是由于第三方库pear Archive_Tar导致的,如果Drupal配置为允许.tar、.tar.gz、.bz2或.tlz文件上传并处理这些文件,可能会被恶意攻击者利用导致远程代码执行。

华为云提醒使用Drupal的用户及时安排自检并做好安全加固。

参考链接:

https://www.drupal.org/sa-core-2021-001

二、威胁级别

威胁级别:【严重】

(说明:威胁级别共四级:一般、重要、严重、紧急) 

三、漏洞影响范围

影响版本:

Drupal 9.1系列 < 9.1.3

Drupal 9.0系列 < 9.0.11

Drupal 8.9系列 < 8.9.13

Drupal 7系列 < 7.78

(8.9.x之前的Drupal 8版本已经停止维护,并且不接受安全保护)

安全版本:

Drupal 9.1系列  9.1.3

Drupal 9.0系列  9.0.11

Drupal 8.9系列  8.9.13

Drupal 7系列  7.78

四、漏洞处置

目前官方已在高版本中修复了该漏洞,请受影响的用户升级至安全版本。

注:修复漏洞前请将资料备份,并进行充分测试。