CVE-2019-6340 - Drupal远程执行代码漏洞预警

2月20日，我们监控了Drupal发布的一项重要安全更新，该更新使用漏洞编号CVE-2019-6340修补了漏洞。没有严格验证的RESTful Web服务。成功利用此漏洞可能导致目标主机上的远程代码执行。默认情况下不启用RESTful服务，从而大大降低了漏洞的风险。出于安全考虑，建议Drupal用户及时升级。

 

ASP站长网该漏洞是由Drupal严格验证RESTful Web数据引起的。如果站点启用了RESTful Web服务并且在站点中接受了PATCH，POST请求，则会出现反序列化问题，从而导致代码执行。

 

受影响的版本

 

Drupal 8.6.9及以下

Drupal 8.5.x或更早版本

对于此漏洞，您可以禁用PUT/PATCH/POST请求以进行缓解。强烈建议用户升级到最新的Drupal版本。