Drupal’dagi muhim zaiflik uchun ekspluatatsiya e’lon qilindi.

Drupal’dagi muhim zaiflik uchun ekspluatatsiya e’lon qilindi.

Ushbu zaiflikdan foydalanish orqali tajovuzkor Drupal asosidagi har qanday veb-saytni to’liq nazorat qila oladi.

GitHub’da Drupal kontentni boshqarish tizimidagi muhim zaiflik uchun PoC ekspluatatsiyasi e’lon qilindi.

Avvalroq, Drupal xavfsizlik guruhi Drupalgeddon 2 deb nomlangan CVE-2018-7600 nomli jiddiy zaiflikni aniqlagan edi. Ushbu zaiflik ruxsatsiz hujumchiga kodni masofadan turib bajarishga imkon bergan.

Hozirgacha zaiflik tafsilotlari ommaga ochiq bo’lmagan. Check Point Research tadqiqotchilari tomonidan tushuntirilganidek, muammo Form API (FAPI) ga AJAX kiritish so’rovlarining yetarlicha tasdiqlanmaganligidan kelib chiqadi. Natijada, tizim tajovuzkorga Drupal ichki tuzilishiga zararli yuklamani kiritish imkonini beradi. Bu Drupalning foydalanuvchi autentifikatsiyasisiz zararli kodni bajarishiga olib kelishi mumkin. Ushbu zaiflikdan foydalanish orqali tajovuzkor Drupal asosidagi har qanday veb-saytni to’liq nazorat qilishi mumkin.

Zaiflik Drupalning 6 dan 8 gacha bo’lgan barcha versiyalarida mavjud.

Drupal – bu butun dunyo bo’ylab bir milliondan ortiq veb-saytlar (shu jumladan hukumatlar, elektron tijorat saytlari, korporativ tashkilotlar, moliya institutlari va boshqalar) tomonidan ishlatiladigan ochiq kodli kontentni boshqarish tizimi (CMS).

Batafsil ma’lumot: https://www.securitylab.ru/news/492629.php