Drupal 8.x < 8.3.7 多个漏洞 (SA-CORE-2017-004)
critical Nessus 插件 ID 102714
语言：
简介
远程 Web 服务器上运行的 PHP 应用程序受到多个漏洞影响。描述
根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 8.3.7 的 8.x。因而会受到多个漏洞的影响：- 由于不能将 Ajax 端点访问仅限于已配置为使用 Ajax 的视图，视图子系统中存在缺陷。如果您的视图具有访问限制，可以缓解该缺陷。(CVE-2017-6923) - REST API 存在缺陷，允许没有正确权限的用户通过 REST 发布已批准的评论，即使该用户并没有权限发布已批准的评论。(CVE-2017-6924) - 实体访问系统中存在缺陷，允许进行不必要的访问以查看、创建、更新或删除实体。这只会影响不使用或没有 UUID 的实体，以及对同一实体的不同修订版有不同访问限制的实体。(CVE-2017-6925) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。解决方案
升级到 Drupal 8.3.7 或更高版本。另见
插件详情
严重性: Critical
ID: 102714
文件名: drupal_8_3_7.nasl
版本: 1.9
类型: remote
系列: CGI abuses
发布时间: 2017/8/24
最近更新时间: 2022/4/11
配置: 启用偏执模式, 启用全面检查 (optional)
支持的传感器: Nessus
风险信息
VPR
风险因素: Medium
分数: 5.9
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 6.2
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 9.1
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:F/RL:O/RC:X
漏洞信息
CPE: cpe:/a:drupal:drupal
必需的 KB 项: Settings/ParanoidReport, installed_sw/Drupal
可利用: true
易利用性: Exploits are available
补丁发布日期: 2017/8/16
漏洞发布日期: 2017/8/16
参考资料信息
CVE: CVE-2017-6923, CVE-2017-6924, CVE-2017-6925
BID: 100368