Hjem > Cyber ​​Nyheder > CVE-2018-14773 Symfony Flaw Affects Drupal Versions 8.x-8.5.6
CYBER NEWS

CVE-2018-14.773 Symfony Fejl Påvirker Drupal Versioner 8.x-8.5.6


En ny sårbarhed er opdaget, CVE-2018-14.773, der påvirker Drupal, den populære open source content management system. Mere specifikt, sårbarheden bor i en del af en tredjepart bibliotek kaldet Symfoni Http Foundation komponent. Komponenten er en del af Drupal Core, med Drupal 8.x versioner påvirket før versionen 8.5.6.




Officiel beskrivelse af CVE-2018-14.773

Støtte til en (eftermæle) IIS header, der giver brugerne mulighed for at tilsidesætte stien i webadressen anmodningen via X-Original URL eller X-Rewrite URL HTTP-forespørgsel headeren giver brugeren mulighed for at få adgang til en webadresse, men har Symfoni returnere en anden en, der kan omgå restriktioner på højere niveau caches og web-servere.

Det skal også bemærkes, at, siden Symfony, webapplikationsframeworket med et sæt af PHP-komponenter, bliver brugt af en masse projekter, fejlen kan potentielt sætte mange web-applikationer i risiko for hacking. Fjernangribere kunne udnytte fejlen via en særligt udformet ’X-Original URL’ eller ’X-Rewrite URL’ HTTP header værdi, der tilsidesætter stien i webadressen anmodningen og kunne undvige adgangsbegrænsninger. Som et resultat, målsystemet kunne gengive en anden URL.

Heldigvis, CVE-2018-14.773 rettet i Symfony udgave 2.7.49, 2.8.44, 3.3.18, 3.4.14, 4.0.14, og 4.1.3. Drupal har også lappet den fejl i sin seneste udgave Drupal 8.5.6.

CVE-2018-14.773 Аlso Fundet i i Zend Framework

Den samme sårbarhed findes også i Zend Foder og Diactoros biblioteker indgår i Drupal kerne, forskere advaret. Bemærk, at Drupal kerne ikke bruger den sårbare funktionalitet. Men, hvis et websted eller modul bruger Zend Feed eller Diactoros direkte, admin af sitet bør henvise til Zend Framework sikkerhed rådgivende.

relaterede Story: CVE-2018-7602 meget kritisk Drupal Bug Aktivt Exploited i det vilde

Drupal blev for nylig kritiseret på grund af en række kritiske sikkerhedsproblemer, som forskerne døbt Drupalgeddon.

I april, en anden Drupalgeddon fjernkørsel af programkode fejl blev opdaget i content management system. Identificeret som CVE-2018-7602, den meget kritiske sårbarhed påvirket Drupal versioner 7.x og 8.x. Fejlen var aktivt udnyttet i naturen.

Milena Dimitrova

Milena Dimitrova

En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim

Flere indlæg

Følg mig:
Twitter

Efterlad en kommentar

Din e-mail-adresse vil ikke blive offentliggjort. Krævede felter er markeret *

Del på Facebook Del
Loading ...
Del på Twitter Tweet
Loading ...
Del på Google Plus Del
Loading ...
Del på Linkedin Del
Loading ...
Del på Digg Del
Del på Reddit Del
Loading ...
Del på Stumbleupon Del
Loading ...