Drupal 7.0.x < 7.69 / 8.7.x < 8.7.11 / 8.8.x < 8.8.1 多个漏洞 (drupal-2019-12-18)

critical Nessus 插件 ID 132340

语言：

简介

远程 Web 服务器上运行的 PHP 应用程序受到多个漏洞影响。

描述

根据其自我报告的版本，远程 Web 服务器上运行的 Drupal 实例为低于 7.69 的 7.0.x，低于 8.7.11 的 8.7.x 或低于 8.8.1 的 8.8.x。因而受到多个漏洞的影响。- Drupal 项目使用的第三方库 Archive_Tar 已经发布一项安全更新，会对一些 Drupal 配置造成影响。如果 Drupal 配置为支持 .tar、.tar.gz、.bz2 或 .tlz 文件上传并对其进行处理，可能会存在多个漏洞。最新版 Drupal 将 Archive_Tar 更新到 1.4.9 版，从而缓解文件处理漏洞。(SA-CORE-2019-012) - 媒体库模块存在安全漏洞，其未能充分限制某些配置中的媒体项访问权限。(SA-CORE-2019-011) - Drupal 8 核心的 file_save_upload() 函数未能从文件名称中删除开头和结尾的点（“.”），这一点与 Drupal 7 一致。能够上传文件（带有任何扩展与提供的模块）的用户可能利用此问题上传系统文件（例如 .htaccess），从而绕过 Drupal 默认 .htaccess 文件提供的保护。此次修复后， file_save_upload() 现在会删除文件名称中开头和结尾的点。(SA-CORE-2019-010) - 对 install.php 的访问会破坏已缓存的数据。这会造成站点受损，直到重建缓存。(SA-CORE-2019-009) 请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。