Drupal主题组件多个缝隙安全公告

颁布功夫 2019-04-19

缝隙编号和级别


CVE编号：：暂无 ，，危险级别：：高危 ，，CVSS分值：：官方未评定

CVE编号：：CVE-2019-10909 ，，危险级别：：高危 ，，CVSS分值：：官方未评定

CVE编号：：CVE-2019-10910 ，，危险级别：：高危 ，，CVSS分值：：官方未评定

CVE编号：：CVE-2019-10911 ，，危险级别：：高危 ，，CVSS分值：：官方未评定


影响版本


受影响的版本

Drupal 8.5或更早版本 ，，Drupal 8.6 ，，Drupal 7

受影响的组件

jQuery < 3.4.0

Symfony 2.7.0 to 2.7.50, 2.8.0 to 2.8.49, 3.4.0 to 3.4.25, 4.1.0 to 4.1.11 and 4.2.0 to 4.2.6


缝隙概述


Drupal是Drupal社区的一套使用PHP说话开发的开源内容治理系统。 。Drupal颁布了安全更新 ，，以解决Drupal Core中的多个安全缝隙 ，，这些缝隙可能允许远程攻击者粉碎数十万个网站的安全性。 。


其中一个安全缝隙是一个跨站点剧本（XSS）缝隙 ，，它存在于第三方插件中 ，，称为JQuery ，，这是数百万网站使用的最盛行的JavaScript库 ，，也预先集成在Drupal Core中。 。该缝隙尚未分配CVE编号。 。


其余三个安全缝隙存在于Drupal Core使用的Symfony PHP组件中：：

CVE-2019-10909

使用PHP模板引擎的表单主题时 ，，验证新闻未被转义 ，，当验证新闻可能蕴含用户输入时 ，，可能会导致XSS。 。


CVE-2019-10910

从未过滤的用户输入派生的服务ID可能导致执行任何肆意代码 ，，从而导致可能的远程代码执行。 。


CVE-2019-10911

攻击者能够批改记住我的cookie并作为分歧的用户进行身份验证。 。


缝隙验证


暂无POC/EXP。 。


修复建议


目前已有新版本如下 ，，请用户实时更新。 。

Drupal 8.6.15

https://www.drupal.org/project/drupal/releases/8.6.15

Drupal 8.5.15

https://www.drupal.org/project/drupal/releases/8.5.15

Drupal 7.66

https://www.drupal.org/project/drupal/releases/7.66

Symfony 2.7.51, 2.8.50, 3.4.26, 4.1.12 and 4.2.7

https://github.com/symfony/symfony/commit/ab4d05358c3d0dd1a36fc8c306829f68e3dd84e2

jQuery 3.4.0

https://blog.jquery.com/2019/04/10/jquery-3-4-0-released/


参考链接


https://www.drupal.org/security



 
clip_image004