سومین نقص حیاتی Drupal کشف شد، سایت‌های خود را هر چه سریع‌تر وصله کنید.

Drupal

شما باید Drupal وب‌سایت‌های خود را به‌روزرسانی کنید. این اتفاق برای سومین بار در ۳۰ روز گذشته رخ داده است.

همان‌طور که دو روز پیش اعلام شد[۱]، Drupal نسخه‌های جدیدی از نرم‌افزار خود را منتشر کرده تا آسیب‌پذیری‌های مهم اجرای کد از راه دور (RCE)، که بر روی نسخه‌های ۷ و ۸ Drupal تأثیر می‌گذارند را وصله کند.

Drupal یک نرم‌افزار محبوب سیستم مدیریت محتوای منبع باز است که میلیون‌ها وب‌سایت را پشتیبانی می‌کند و متأسفانه سیستم مدیریت محتوا پس از افشای یک آسیب‌پذیری حیاتی اجرای کد از راه دور موردحمله قرار گرفته است.

این آسیب‌پذیری جدید در حالی کشف شد که آسیب‌پذیری افشاشده‌ی RCE که Drupalgeddon2 یا CVE-2018-7600 نام‌گذاری شده بود[۲] در تاریخ ۲۸ مارس ۲۰۱۸ وصله شد، و تیم Drupal مجبور شد این به‌روز‌رسانی را منتشر کند.

با توجه به توصیه‌های جدید منتشرشده توسط این تیم[۳]، این آسیب‌پذیری جدید اجرای کد از راه دور (CVE-2018-7602) همچنین می‌تواند به مهاجمان اجازه دهد تا کنترل کامل وب‌سایت‌های آسیب‌پذیر را در اختیار گیرند.

چگونه آسیب‌پذیری Drupal را وصله کنیم؟

RCE

ازآنجاکه نقص افشا شده قبلی توجه زیادی را جلب کرده و مهاجمان را متقاعد کرده است تا وب‌سایت‌هایی را که در حال اجرا بر روی Drupal هستند را مورد هدف قرار دهند، این شرکت از تمام مدیران وب درخواست کرده است تا در اسرع وقت وصله‌های امنیتی جدید را نصب کنند.

اگر شما Drupal نسخه ۷ را اجرا می‌کنید، به نسخه ۷٫۵۹ ارتقا دهید.
اگر شما نسخه ۸٫۵ را اجرا می‌کنید، به نسخه ۸٫۵٫۳ ارتقا دهید.
اگر شما نسخه ۸٫۴ را اجرا می‌کنید که دیگر پشتیبانی نمی‌شود، ابتدا باید سایت خود را به نسخه ۸٫۴٫۸ به‌روزرسانی کنید و سپس آخرین نسخه یعنی ۸٫۵٫۳ را در اسرع وقت نصب کنید.

همچنین لازم به ذکر است که وصله‌های جدید تنها در صورتی کار می‌کنند که سایت شما قبلاً وصله‌های مربوط به نقص Drupalgeddon2 را نصب کرده باشند.

سخنگوی Drupal به The Hacker News گفت: “ما از هیچ‌گونه بهره‌برداری فعالی در سطح اینترنت برای این آسیب‌پذیری جدید آگاهی نداریم. علاوه بر این، نقص جدید پیچیده‌تر از آن است تا بتواند به یک بهره‌بردار تبدیل شود.”

جزئیات فنی این نقص که می‌تواند Drupalgeddon3 نام‌گذاری شود، در گزارش منتشرشده توسط این شرکت نیامده است، اما به این معنا نیست که شما می‌توانید تا صبح روز بعد صبر کنید تا وب‌سایت خود را به‌روزرسانی کنید، با این اعتقاد که مورد حمله قرار نخواهید گرفت.

ما شاهد بودیم که چگونه مهاجمان در عرض چند ساعت پس از افشای جزئیات آسیب‌پذیری قبلی، بهره‌بردارهای خودکار را توسعه دادند تا از آسیب‌پذیری Drupalgeddon2 برای تزریق minerهای ارزهای رمزنگاری‌شده[۴]، درهای پشتی و دیگر بدافزارها به وب سایت‌ها استفاده کنند.

علاوه بر این دو نقص، این تیم همچنین در هفته گذشته یک آسیب‌پذیری XSS را وصله کرد[۵] که می‌توانست به مهاجمانِ از راه دور اجازه دهد تا حملات پیشرفته‌ای نظیر سرقت کوکی، ذخیره کلیدهای فشرده‌شده، فیشینگ و سرقت هویت را انجام دهند.

بنابراین، به مدیران سایت‌های Drupal به‌شدت توصیه می‌شود تا در اسرع وقت وب‌سایت‌های خود را به‌روزرسانی کنند.