DDos
VIP Members
-
22/10/2013
-
524
-
2.191 bài viết
Drupal phát hành phiên bản mới để vá lỗ hổng rò rỉ thông tin và Cross-Site Scripting
Nhiều lỗ hổng rò rỉ thông tin và Cross-Site Scripting (XSS) của hệ thống quản lý nội dung Drupal đã được vá trong tuần này.
Lỗ hổng nghiêm trọng nhất được đánh số CVE-2020-13668, là một lỗ hổng XSS ảnh hưởng đến Drupal 8 và 9. Điều đáng chú ý là Drupal sử dụng hệ thống NIST Common Misuse Scoring System để đánh giá mức độ rủi ro và nghiêm trọng của lỗ hổng. Với mức cao nhất trong hệ thống đánh giá là cực kỳ nghiêm trọng (highly critical) thì lỗ hổng CVE-2020-13668 được vá lần này xếp ở mức độ thấp hơn (critical). Kẻ tấn công có thể khai thác lỗ hổng để gửi một đường dẫn giả mạo và lừa nạn nhân truy cập để đạt được mục đích như đánh cắp cookie...
Một lỗ hổng XSS khác được đánh giá ở mức rủi ro vừa phải, cũng được vá trong bản cập nhật lần này, ảnh hưởng đến Drupal 7, 8 và 9, liên quan đến việc API AJAX không vô hiệu hóa được JSONP theo mặc định.
Tiếp đến là một lỗ hổng XSS có mức độ trung bình, ảnh hưởng đến Drupal 7 và 8, liên quan đến chức năng chú thích hình ảnh CKEditor được tích hợp trong lõi Drupal. Đầu năm nay, các nhà phát triển Drupal đã phát hành các bản cập nhật để giải quyết một số lỗi XSS ảnh hưởng đến thư viện CKEditor.
Các nhà phát triển và quản trị viên trang web cũng cần chú ý đến lỗ hổng bỏ qua quyền truy cập liên quan đến mô-đun Workspaces đang được thử nghiệm. Mô-đun này cho phép người dùng tạo nhiều không gian làm việc trên một trang web để có thể chỉnh sửa nội dung trước khi public trên không gian làm việc trực tiếp.
“Mô-đun Workspaces không kiểm tra đầy đủ quyền truy cập khi chuyển đổi không gian làm việc, dẫn đến lỗ hổng bỏ qua quyền truy cập. Kẻ tấn công có thể xem nội dung trước khi chủ sở hữu trang web có ý định public bài viết lên trang web”, các nhà phát triển Drupal giải thích.
Cuối cùng, Drupal cũng bị ảnh hưởng bởi một lỗ hổng với mức độ nghiêm trọng vừa phải trong mô-đun File, có thể bị khai thác để chiếm quyền truy cập vào siêu dữ liệu của tệp riêng tư bằng cách đoán ID của tệp dữ liệu.
Các phiên bản của Drupal 8 trước 8.8.x không còn nhận được các bản cập nhật bảo mật. Quản trị viên trang web cần cập nhật ngày các phiên bản Drupal mới nhất (Drupal 8.8.10, 8.9.6, 9.0.6) để tránh trở thành nạn nhân của tin tặc.
Lỗ hổng nghiêm trọng nhất được đánh số CVE-2020-13668, là một lỗ hổng XSS ảnh hưởng đến Drupal 8 và 9. Điều đáng chú ý là Drupal sử dụng hệ thống NIST Common Misuse Scoring System để đánh giá mức độ rủi ro và nghiêm trọng của lỗ hổng. Với mức cao nhất trong hệ thống đánh giá là cực kỳ nghiêm trọng (highly critical) thì lỗ hổng CVE-2020-13668 được vá lần này xếp ở mức độ thấp hơn (critical). Kẻ tấn công có thể khai thác lỗ hổng để gửi một đường dẫn giả mạo và lừa nạn nhân truy cập để đạt được mục đích như đánh cắp cookie...
Một lỗ hổng XSS khác được đánh giá ở mức rủi ro vừa phải, cũng được vá trong bản cập nhật lần này, ảnh hưởng đến Drupal 7, 8 và 9, liên quan đến việc API AJAX không vô hiệu hóa được JSONP theo mặc định.
Tiếp đến là một lỗ hổng XSS có mức độ trung bình, ảnh hưởng đến Drupal 7 và 8, liên quan đến chức năng chú thích hình ảnh CKEditor được tích hợp trong lõi Drupal. Đầu năm nay, các nhà phát triển Drupal đã phát hành các bản cập nhật để giải quyết một số lỗi XSS ảnh hưởng đến thư viện CKEditor.
Các nhà phát triển và quản trị viên trang web cũng cần chú ý đến lỗ hổng bỏ qua quyền truy cập liên quan đến mô-đun Workspaces đang được thử nghiệm. Mô-đun này cho phép người dùng tạo nhiều không gian làm việc trên một trang web để có thể chỉnh sửa nội dung trước khi public trên không gian làm việc trực tiếp.
“Mô-đun Workspaces không kiểm tra đầy đủ quyền truy cập khi chuyển đổi không gian làm việc, dẫn đến lỗ hổng bỏ qua quyền truy cập. Kẻ tấn công có thể xem nội dung trước khi chủ sở hữu trang web có ý định public bài viết lên trang web”, các nhà phát triển Drupal giải thích.
Cuối cùng, Drupal cũng bị ảnh hưởng bởi một lỗ hổng với mức độ nghiêm trọng vừa phải trong mô-đun File, có thể bị khai thác để chiếm quyền truy cập vào siêu dữ liệu của tệp riêng tư bằng cách đoán ID của tệp dữ liệu.
Các phiên bản của Drupal 8 trước 8.8.x không còn nhận được các bản cập nhật bảo mật. Quản trị viên trang web cần cập nhật ngày các phiên bản Drupal mới nhất (Drupal 8.8.10, 8.9.6, 9.0.6) để tránh trở thành nạn nhân của tin tặc.
Chỉnh sửa lần cuối bởi người điều hành: