在全功能内容管理框架 Drupal 中发现多种漏洞：跨站请求伪造、不安全的伪随机数生成、代码执行、错误的安全标记验证和跨站脚本。

为避免远程代码执行漏洞，建议在每个站点的“files”目录中（如果同时配置了公共和私人目录，则要在这两个目录中）创建 .htaccess 文件（或在未使用 Apache 服务于 Drupal 站点时创建同等配置指令）。

更多信息请参阅随此更新提供的 NEWS 文件以及 drupal.org/SA-CORE-2013-003 中的上游公告。

- 更新到上游 7.24 版本以获得安全补丁

- 有关此版本的上游变更日志，请参阅：https://drupal.org/drupal-7.24-release-notes

- SA-CORE-2013-003 - Drupal 核心 - 多种漏洞 - http://drupal.org/SA-CORE-2013-003

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已在 drupal 中发现并修复了多种安全问题：

Drupal 核心的 Image 模块允许按需生成图像衍生品。攻击者可滥用此功能，请求大量新的衍生品，这些衍生品可填满服务器磁盘空间，从而导致很高的 CPU 负载。这些影响之一可能导致站点不可用或不响应 (CVE-2013-0316)。

Drupal 的表单 API 已内置了跨站请求伪造 (CSRF) 验证，并且还允许任何模块对该表单执行自己的验证。在某些常见情况下，表单验证功能可能执行不安全的操作 (CVE-2013-6385)。

Drupal 核心直接使用 mt_rand() 伪随机数发生器生成在多个核心模块中使用的安全相关字符串。
已发现暴力破解工具可确定种子，从而导致这些字符串在某些情况下可预测 (CVE-2013-6386)。

图像字段描述在打印到 HTML 之前未正确审查，因此存在跨站脚本漏洞 (CVE-2013-6387)。

已在 Color 模块中发现了一个跨站脚本漏洞。恶意攻击者可诱骗经过认证的管理用户访问包含特定 JavaScript 的页面，从而通过在 CSS 中执行 JavaScript 发起反射型跨站脚本攻击 (CVE-2013-6388)。

Overlay 模块将管理页面显示为当前页面上的层（使用 JavaScript），而不是替换浏览器窗口中的页面。Overlay 模块在显示 URL 内容之前未对其进行充分验证，导致开放重定向漏洞 (CVE-2013-6389)。

更新后的程序包已升级到 7.24 版，此版本不受这些安全缺陷的影响。

更新：

已添加了更多 apache ACL 限制，以便完全符合 SA-CORE-2013-003 公告的要求。

- 更新到上游 6.29 版本以获得安全补丁

- 有关此版本的上游变更日志，请参阅：https://drupal.org/drupal-6.29-release-notes

- SA-CORE-2013-003 - Drupal 核心 - 多种漏洞 - http://drupal.org/SA-CORE-2013-003

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Web 服务器运行的 Drupal 版本是低于 6.29 的 6.x。因此，它可能受到多种漏洞的影响：

- 存在与第三方模块使用的 HTML 表单 API 和验证回调相关的错误，可允许攻击者绕过跨站请求伪造保护。(CVE-2013-6385)

- 用于生成伪随机数的函数 mt_rand() 中存在错误，可允许攻击者通过暴力破解获取种子。
 (CVE-2013-6386)

- 在其中应用程序代码不能阻止执行上传的文件的 Apache Web 服务器上，可能上传任意 PHP 文件并导致它们执行。请注意，如果预期修复是升级，并且服务器是 Apache 服务器，则需要手动修复。(BID 63845)

- 函数 drupal_valid_token() 中存在错误，可允许该函数验证无效的标记，因而发生安全绕过。请注意，攻击者必须能够使非字符串值传递到该函数才可成功进行攻击。(BID 63849)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

在全功能内容管理框架 Drupal 中发现多种漏洞：因宽松的跨站请求伪造防护、不安全的伪随机数生成、代码执行和错误的安全标记验证而造成的漏洞。

为避免远程代码执行漏洞，建议在每个站点的“files”目录中（如果同时配置了公共和私人目录，则要在这两个目录中）创建 .htaccess 文件（或在未使用 Apache 服务于 Drupal 站点时创建同等配置指令）。

更多信息请参阅随此更新提供的 NEWS 文件以及 drupal.org/SA-CORE-2013-003 中的上游公告。

远程 Web 服务器运行的 Drupal 版本是低于 7.24 的 7.x。因此，它可能受到多种漏洞的影响：

- 存在与第三方模块使用的 HTML 表单 API 和验证回调相关的错误，可允许攻击者绕过跨站请求伪造保护。(CVE-2013-6385)

- 用于生成伪随机数的函数 mt_rand() 中存在错误，可允许攻击者通过暴力破解获取种子。
 (CVE-2013-6386)

- “图像”模块中存在用户输入验证错误，可允许通过图像字段描述参数进行持久跨站脚本攻击。
 (CVE-2013-6387)

- “颜色”模块中存在用户输入验证错误，可允许通过不明输入进行跨站脚本攻击。(CVE-2013-6388)

- 存在与管理员页面和重叠有关的错误，可允许通过任意重定向来诱骗用户向恶意网站发起请求。(CVE-2013-6389)

- 在其中应用程序代码不能阻止执行上传的文件的 Apache Web 服务器上，可能上传任意 PHP 文件并导致它们执行。请注意，如果预期修复是升级，并且服务器是 Apache 服务器，则需要手动修复。(BID 63845)

- 函数 drupal_valid_token() 中存在错误，可允许该函数验证无效的标记，因而发生安全绕过。请注意，攻击者必须能够使非字符串值传递到该函数才可成功进行攻击。(BID 63849)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
71098	Debian DSA-2804-1：drupal7 - 多个漏洞	Nessus	Debian Local Security Checks	2013/11/27	2021/1/11	medium
71148	Fedora 19：drupal7-7.24-1.fc19 (2013-21844)	Nessus	Fedora Local Security Checks	2013/12/2	2021/1/11	medium
71101	Mandriva Linux 安全公告：drupal (MDVSA-2013:287-1)	Nessus	Mandriva Local Security Checks	2013/11/27	2021/1/6	medium
71358	Fedora 19：drupal6-6.29-1.fc19 (2013-22507)	Nessus	Fedora Local Security Checks	2013/12/12	2021/1/11	medium
71408	Fedora 20：drupal6-6.29-1.fc20 (2013-22352)	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	medium
71144	Drupal 6.x < 6.29 多种漏洞	Nessus	CGI abuses	2013/11/30	2022/4/11	medium
71764	Debian DSA-2828-1：drupal6 - 多个漏洞	Nessus	Debian Local Security Checks	2013/12/30	2021/1/11	medium
71145	Drupal 7.x < 7.24 多种漏洞	Nessus	CGI abuses	2013/11/30	2022/4/11	medium
71404	Fedora 20：drupal7-7.24-1.fc20 (2013-21956)	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium