Το Drupal κυκλοφόρησε διορθώσεις για δύο κρίσιμες ευπάθειες που μπορούν να επιτρέψουν απομακρυσμένη εκτέλεση κώδικα σε ιστότοπους με οποιαδήποτε υποστηριζόμενη έκδοση. Η πρώτη αφορά το module Field UI του πυρήνα και η δεύτερη το πρόσθετο Entity List, ενώ και για τις δύο υπάρχει τουλάχιστον ένας δρόμος εκμετάλλευσης χωρίς ταυτοποίηση μέσω πρόσθετων modules ή προσαρμοσμένου κώδικα. Η ομάδα ασφαλείας είχε προειδοποιήσει ότι exploits μπορεί να εμφανιστούν μέσα σε ώρες ή ημέρες. Οι διαχειριστές καλούνται να αναβαθμίσουν στις εκδόσεις 10.6.19, 11.3.19 ή 11.4.10 και το Entity List στην 3.0.10.

Τι σημαίνει: Το Drupal χρησιμοποιείται ευρέως από δημόσιους φορείς, πανεπιστήμια και οργανισμούς, άρα και στην Ελλάδα υπάρχουν αρκετοί ιστότοποι που πρέπει να ελεγχθούν άμεσα. Το γεγονός ότι η ομάδα ασφαλείας είχε ανακοινώσει από πριν το παράθυρο διόρθωσης και μιλούσε για exploits μέσα σε ώρες δείχνει ότι η απειλή θεωρείται σοβαρή. Τα κενά δεν εκμεταλλεύονται μόνο με τον πυρήνα, αλλά τα περισσότερα πραγματικά sites έχουν πρόσθετα modules και προσαρμοσμένο κώδικα, οπότε δεν πρέπει κανείς να εφησυχάζει. Όσοι δεν μπορούν να αναβαθμίσουν άμεσα έχουν ως προσωρινή λύση την απεγκατάσταση του Field UI, που συνήθως δεν χρειάζεται σε παραγωγικό περιβάλλον. Παράλληλα, πρέπει να ελέγξουν αν τρέχουν εκδόσεις που δεν υποστηρίζονται πια, γιατί αυτές δεν θα λάβουν διόρθωση. Για φορείς και επιχειρήσεις που αναθέτουν τη συντήρηση σε εξωτερικούς συνεργάτες, καλό είναι να ζητήσουν γραπτή επιβεβαίωση ότι η αναβάθμιση έγινε και πότε. Σε οργανισμούς που καλύπτονται από τη NIS2, η έγκαιρη εφαρμογή διορθώσεων είναι πλέον μέρος των υποχρεώσεων διαχείρισης κινδύνου. Η γενικότερη πρακτική που προκύπτει είναι η τήρηση ενημερωμένης λίστας με όλα τα συστήματα διαχείρισης περιεχομένου και τις εκδόσεις τους.

Διαβάστε το πρωτότυπο στο BleepingComputer

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις