Drupal 6.x < 6.33 / 7.x < 7.31 XML-RPC DoS

medium Nessus 插件 ID 77186

语言：

简介

远程 Web 服务器正在运行受到拒绝服务漏洞影响的 PHP 应用程序。

描述

远程 Web 服务器正在运行 Drupal 的版本是低于 6.33 的 6.x 或低于 7.31 的 7.x。因此，可能受到多种拒绝服务漏洞的影响：

- Drupal 中的 XML-RPC 库允许在实体扩展期间不考虑递归的情况下进行实体声明。
远程攻击者可使用构建的包含大量嵌套实体引用的 XML 文档，通过消耗可用内存和 CPU 资源造成拒绝服务。(CVE-2014-5265)

- Drupal 中的 XML-RPC 库没有限制 XML 文档中的元素数量。远程攻击者可凭借大文档，通过 CPU 消耗造成拒绝服务。(CVE-2014-5266)

- “xmlrpc.php”中存在一个 XML 注入缺陷，此缺陷是由于解析器接受来源不受信任的 XML 内部实体。远程攻击者可利用此缺陷，通过特别构建的 XML 数据造成拒绝服务。
此漏洞还存在于 Drupal OpenID 模块内。

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。