Drupal 編碼器模組還原序列化 RCE

critical Nessus Plugin ID 92626

Synopsis

遠端 Web 伺服器上執行的 PHP 應用程式受到一個遠端程式碼執行弱點影響。

描述

遠端 web 伺服器上執行的 Drupal 版本受到編碼器模組中 (具體而言是 coder_upgrade.run.php 檔案中) 的一個遠端程式碼執行弱點影響,此弱點是因不當驗證使用者在 unserialize() 函式提供的輸入所導致。未經驗證的遠端攻擊者可惡意利用此弱點,透過特製的要求執行任意 PHP 程式碼。

解決方案

將編碼器模組升級至 7.x-1.3 / 7.x-2.6 版或更新版本。
或者,從所有可供公開存取的網站移除整個編碼器模組目錄。

另請參閱

https://www.drupal.org/node/2765575

https://www.drupal.org/project/coder

Plugin 詳細資訊

嚴重性: Critical

ID: 92626

檔案名稱: drupal_coder_rce.nasl

版本: 1.5

類型: remote

系列: CGI abuses

已發布: 2016/7/29

已更新: 2022/4/11

組態: 啟用徹底檢查

風險資訊

CVSS v2

風險因素: Critical

基本分數: 10

時間分數: 8.3

媒介: AV:N/AC:L/Au:N/C:C/I:C/A:C

時間媒介: E:F/RL:OF/RC:ND

弱點資訊

CPE: cpe:/a:drupal:drupal

必要的 KB 項目: installed_sw/Drupal, www/PHP

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2016/7/13

弱點發布日期: 2016/7/13

參考資訊

EDB-ID: 40149