九游老哥云
【误差通告】Drupal远程代码执行误差（CVE-2020-28948/CVE-2020-28949）
2020-11-29
一. 误差概述
克日 ，九游老哥科技监测到 Drupal 官方宣布清静通告修复了 Drupal 远程代码执行误差（CVE-2020-28949）与（CVE-2020-28949） ，请相关用户接纳步伐举行防护。
Drupal远程代码执行误差（CVE-2020-28948）：
Durpal使用的PEAR Archive_Tar是一款用于在PHP中建设、提取和列出tar文件的工具类。由于1.4.10及之前的Archive_Tar类在处置惩罚如.tar、.tar.gz、.bz2或.tlz等名堂的压缩包时过滤不严 ，可能导致保存PHAR反序列化误差 ，从而造成远程代码执行。
Drupal远程代码执行误差（CVE-2020-28949）：
由于1.4.10及之前的Archive_Tar类具有：//文件名扫除功效 ，但该功效仅能防护phar://伪协议攻击 ，其它任何流包装器攻击（如file：//）仍然可以被攻击者乐成使用。
Drupal是使用PHP语言编写的开源内容治理框架（CMF） ，由内容治理系统（CMS）和PHP开发框架（Framework）配合组成。PEAR全称为PHP扩展与应用库 ，它是一个PHP扩展及应用的一个代码客栈。
参考链接：
https://www.drupal.org/sa-core-2020-013
二. 影响规模
受影响版本
Drupal < 7.75
Drupal < 8.8.12
Drupal < 8.9.10
Drupal < 9.0.9
注：8.8.x之前的Drupal 8版本官方已经阻止维护。
不受影响版本
Drupal 7.75
Drupal 8.8.12
Drupal 8.9.10
Drupal 9.0.9
三. 清静检测
3.1 版本检查
相关用户可通过审查目今使用的Drupal版原来确定是否受该误差影响 ，登录后台后 ，依次点击“治理”-“日志”-“报告状态” ，即可审查目今的应用版本：
若是目今版本在受影响规模内 ，则保存清静危害。
四. 误差防护
4.1 官方升级
现在官方已宣布新版本修复了以上误差 ，请受影响的用户尽快升级至对应的新版本举行防护：
|
修复版本 |
下载链接 |
|
Drupal 7.75 |
https://www.drupal.org/project/drupal/releases/7.75 |
|
Drupal 8.8.12 |
https://www.drupal.org/project/drupal/releases/8.8.12 |
|
Drupal 8.9.10 |
https://www.drupal.org/project/drupal/releases/8.9.10 |
|
Drupal 9.0.9 |
https://www.drupal.org/project/drupal/releases/9.0.9 |
4.2 暂时缓解步伐
若相关用户暂时无法举行升级操作 ，可榨取用户上传.tar、.tar.gz、.bz2及.tlz类型的压缩包。
声明
本清静通告仅用来形貌可能保存的清静问题 ，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失 ，均由使用者自己认真 ，九游老哥科技以及清静通告作者不为此肩负任何责任。
九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告 ，必需包管此清静通告的完整性 ，包括版权声明等所有内容。未经九游老哥科技允许 ，不得恣意修改或者增减此清静通告内容 ，不得以任何方法将其用于商业目的。
