URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 115643
[ Назад ]

Исходное сообщение
"Уязвимости в Drupal"

Отправлено opennews , 24-Окт-18 10:53 
В системе управления контентом Drupal выявлены (https://www.drupal.org/sa-core-2018-006) две критические уязвимости, позволяющие выполнить код на сервере.  Проблемы устранены в выпусках Drupal 7.60 (https://www.drupal.org/project/drupal/releases/7.60), 8.5.8 (http://www.drupal.org/project/drupal/releases/8.5.8) и  8.6.2 (http://www.drupal.org/project/drupal/releases/8.6.2).


Первая уязвимость затрагивает Drupal 7 и Drupal 8 и связана с отсутствием должного экранирования спецсимволов в функции DefaultMailSystem::mail(). При отправке сообщения на email не все переменные проверяются, что позволяет передать утилите sendmail произвольные аргументы командной строки и инициировать выполнение своего кода.


Вторая уязвимость присутствует только в Drupal 8 и вызвана отсутствием необходимой чистки контекстных ссылок в модуле Contextual Links.  Через передачу специально оформленной контекстной ссылки атакующий может добиться выполнения своего кода в системе. Для атаки необходим доступ с правами, разрешающими работу с контекстными ссылками.


Кроме того, в новых выпусках также устранены три уязвимости, отнесённые к категории "Moderately critical": ошибка проверки доступа в системе модерировния контента, возможность проброса на сторонний URL в системе внутренних коротких ссылок и возможность перенаправления на сторонний сайт после совершения определённых действий на странице.


URL: https://www.drupal.org/sa-core-2018-006
Новость: https://www.opennet.ru/opennews/art.shtml?num=49488


Содержание

Сообщения в этом обсуждении
"Уязвимости в Drupal"
Отправлено Аноним , 24-Окт-18 10:53 
С пробуждением. Уже неделю как все обновились

"Уязвимости в Drupal"
Отправлено КГБ СССР , 24-Окт-18 10:59 
> и связана с отсутствием должного экранирования спецсимволов в функции

Интересно, как при таком уровне профессионализма они пишут всё остальное.


"Уязвимости в Drupal"
Отправлено уебмакак , 24-Окт-18 11:45 
> Интересно, как при таком уровне профессионализма они пишут всё остальное.

быстро, очень-очень быстро пишем!


"Уязвимости в Drupal"
Отправлено КГБ СССР , 24-Окт-18 12:23 
>> Интересно, как при таком уровне профессионализма они пишут всё остальное.
> быстро, очень-очень быстро пишем!

Ай нанэ нанэ!


"Уязвимости в Drupal"
Отправлено Гентушник , 25-Окт-18 09:49 
Так же как и разработчики ядра пишут код приводящий затем к переполнению буфера.

"Уязвимости в Drupal"
Отправлено Аноним , 24-Окт-18 11:11 
Осасные уязвимости
Исправьте в соц сетях)

"Уязвимости в Drupal"
Отправлено blzz , 24-Окт-18 12:27 
сесурити в осасноти!

"Уязвимости в Drupal"
Отправлено Аноним , 24-Окт-18 11:26 
Может уже пора переименовать Drupal в Уязвимость?

"Уязвимости в Drupal"
Отправлено A , 24-Окт-18 16:02 
Просто читайте как "Дрюпаль" :)

"Уязвимости в Drupal"
Отправлено .. , 24-Окт-18 21:04 
вздрюпаль тогда
нас вздрюпали! - и всем всё ясно, ёмкая фраза получается

"Уязвимости в Drupal"
Отправлено InuYasha , 24-Окт-18 11:55 
А на чём сейчас сайт пилить? Из опенсорсного мне известны кака раз Drupal, Joomla, Wordpress, DragonflyCMS...

"Уязвимости в Drupal"
Отправлено гг , 24-Окт-18 12:04 
пилить? или накидать кала, авось и так сойдет

"Уязвимости в Drupal"
Отправлено нах , 24-Окт-18 12:28 
> А на чём сейчас сайт пилить? Из опенсорсного мне известны кака раз
> Drupal, Joomla, Wordpress, DragonflyCMS...

а зачем вообще что-то пилить? Сайты немодно, их скоро вообще гугл запретит, перестав открывать что-то кроме самого себя, так что пилите блох в свитере, кАнал в телеграсте и что там еще - а, акаунт в хипстаграме.

сайт-визитку со ссылками на все это - ну, в гуглосайтах сделайте, там готовый шаблон.


"Уязвимости в Drupal"
Отправлено Аноним , 24-Окт-18 13:02 
Проблема капли неповоротливый комитет который занимается обсуждалками, написаниями всяких правил в духе уважать геев - ничего хорошего из результата такой деятельности не получится.

"Уязвимости в Drupal"
Отправлено Попугай Кеша , 24-Окт-18 14:03 
Вот вы смеетесь, а ведь так и будет.

Сетевой нейтралитет отменяетяс
HTTPS теперь везде, мартышкам сложнее сделать сайт без него
Да и сайт? Зачем? Сложно же. Проще паблик в ВК запилить или в FB. Для фоточек - инстаграм.

А сайт-то зачем? Да забудьте! Будьте современным ;)


"Уязвимости в Drupal"
Отправлено Sw00p aka Jerom , 24-Окт-18 21:19 
согласен, давно пора избавится от всего ввв, мейла и всякой хрени напридуманной 50 лет назад

"Уязвимости в Drupal"
Отправлено шухер , 24-Окт-18 16:03 
>> в хипстаграме

В вконтаграме.


"Уязвимости в Drupal"
Отправлено КГБ СССР , 24-Окт-18 12:37 
> А на чём сейчас сайт пилить? Из опенсорсного мне известны кака раз
> Drupal, Joomla, Wordpress, DragonflyCMS...

На HTML 4.01 или XTML 1.0/1.1 при поддержке CSS 2. Поверь, результат бесконечно обрадует тебя и посетителей твоего сайта.


"Уязвимости в Drupal"
Отправлено Аноним , 24-Окт-18 13:21 
На /cgi-bin/

"Уязвимости в Drupal"
Отправлено КГБ СССР , 24-Окт-18 13:35 
> На /cgi-bin/

Боюсь, тут мало тех, кто знает (помнит) эти слова. :)


"Уязвимости в Drupal"
Отправлено Sw00p aka Jerom , 24-Окт-18 21:20 
hell-world.exe ))))))

"Уязвимости в Drupal"
Отправлено Sw00p aka Jerom , 24-Окт-18 21:21 
о - не допечатал

"Уязвимости в Drupal"
Отправлено pull request , 24-Окт-18 23:09 
даже лучше получилось

"Уязвимости в Drupal"
Отправлено КГБ СССР , 25-Окт-18 11:47 
> даже лучше получилось

Точно.


"Уязвимости в Drupal"
Отправлено КГБ СССР , 25-Окт-18 11:47 
> hell-world.exe ))))))

Не в бровь, а в глаз!


"Уязвимости в Drupal"
Отправлено InuYasha , 24-Окт-18 13:31 
Уточняю: есть /var/www/ и радость установки LAMP.
Раньше у меня был сайт на postnuke-подобном движке, пока его не забросили и всё время не стало уходить на дырозатыкание. Пришлось закрыть. Всякие облака-белогривые-гуглошадки даже не рассматриваю. Всё своё должно быть своим.

Сейчас, как я понял, модно - фреймворки, фронтенды...

Но хотелось бы классический "портал" - на нормальном HTML с CSS, без JS. Чтобы были темы (шаблоны) по выбору юзеров, блоки, новости, галерея, ...


"Уязвимости в Drupal"
Отправлено vitalif , 24-Окт-18 13:56 
Пилить - на голом языке, без cms. В принципе на любом, хоть на том же пыхе. Просто следовать простым правилам безопасности а-ля OWASP и будет все норм.

Набросать сайтик непрограммисту / "сайт салона красоты" или еще какую то мелочь - wordpress, просто анально ограничить его на сервере путем помещения в докер + запрета выполнения в папках загрузок + ручного перечисления нужных entry point'ов + https + basic auth на всю админку сразу. Норм, и волки сыты, и овцы целы


"Уязвимости в Drupal"
Отправлено Попугай Кеша , 24-Окт-18 14:04 
Для сайта салона красоты не нужна CMS.

Проще посадить заказчика на облако а-ля PAAS и сделать фронтенд на чем угодно. Вам только нужен генератор статических сайтов + верстальщик с руками и дизайнер с головой.


"Уязвимости в Drupal"
Отправлено vitalif , 24-Окт-18 14:46 
Вот именно, что нужен верстальщик с головой

А если есть в наличии только владелец салона красоты?))


"Уязвимости в Drupal"
Отправлено Ирокез , 24-Окт-18 17:45 
Нанять верстальщика за вменяемое вознаграждение. Когда пытаются обойтись своими силами получается примерно вот так: www.amur.info (чтобы почувствовать ВСЮ боль отключите адблок)

"Уязвимости в Drupal"
Отправлено пох , 24-Окт-18 22:55 
вчера Через Благовещенскую таможню пытались провезти майнеры для криптовалют
вчера Благовещенец выплатил 300 000 рублей алиментов, чтобы не лишиться водительских прав
вчера Благовещенец украл из закрытой машины почти два миллиона рублей
(вот где он взял 300000)
вчера Полиция Приморья предлагает 400 тысяч за информацию о разыскиваемом
(что-то я не понял, где тут профит- он же им должен был 300)

интересно живут люди в Благовещенске, да и сайт в общем почти нормальный (адблока нет, есть noscript, удивительно, но факт - этот сайт без js вполне работает)

а, ну так что вы хотите-то: Житель города Нерюнгри, ехавший в поезде Нерюнгри – Хабаровск, вез в банке с вареньем почти 19 граммов гaшишного масла.

в тынде менты поганые, соглашусь.

(и тутошний скрипт не лучше)


"Уязвимости в Drupal"
Отправлено Аноним , 24-Окт-18 19:45 
Будь брутален, как звездец, сделай свой блог на https://jekyllrb.com/. Пиши посты в vim'е и коммить в гит!

"Уязвимости в Drupal"
Отправлено пох , 24-Окт-18 22:40 
> Чтобы были темы (шаблоны) по выбору юзеров, блоки, новости, галерея, ...

ну лет за стописят допилишь - хоть на "cgi-bin", хоть на чем.

и да, не забудь прекрасный jquery-file-upload, потому что никакими силами кроме аякса невозможно нарисовать прогресс-бар при заливе картинок в эту самую галерею - а браузеры таковым штатно почему-то не оборудованы. Успехов тебе использовать его без js.

и да, в отличие от ненужнопищалкоперделок - это - нормальная забота о пользователе, которому нужно понимание-  это вот оно просто так висит, или "ага, уже больше половины закачалось, щас покажется".


"Уязвимости в Drupal"
Отправлено Michael Shigorin , 24-Окт-18 15:11 
TYPO3 ещё, но оно не для визиток.  Есть хорошо зарекомендовавшие себя старые знакомые в ttlab.

"Уязвимости в Drupal"
Отправлено имя , 24-Окт-18 16:28 
Jekyll или какой статический генератор сайтов вместо него нынче в моде. Комменты вы всё равно отключите с первым наездом РКН на очередного распространителя немодерируемой информации.

"Уязвимости в Drupal"
Отправлено пох , 24-Окт-18 22:45 
> с первым наездом РКН

ага, щас:

pay for essay writing a href(опять он не смог в bbcode)
cialis prezzo [а этот смог, жаль что в комментах ссылки не показываются]- viagra without a doctor canadian pharmacy

роспозору - совершенно пофиг (хотя тут прямо вот уголовный кодекс. Но не применяемый на практике).

а вот твоим пользователям нифига не пофиг, и либо они уйдут с твоего сайта очень быстро, либо придется озадачиться тем, чтобы "немодерируемая информация" быстренько пополняла /dev/null


"Уязвимости в Drupal"
Отправлено Аноним , 24-Окт-18 20:18 
На чём-то, что не написано на PHP/Perl.

Прекрасно подойдут продукты на Python/RoR.

// b.


"Уязвимости в Drupal"
Отправлено Отсутствуют данные в поле Name , 24-Окт-18 13:20 
Зобейте ... зобейте на все похапешное, я вас как человеков прошу ... (помирает)

"Уязвимости в Drupal"
Отправлено vitalif , 24-Окт-18 13:51 
Мне интересно, когда-то вообще могут ЗАКОНЧИТЬСЯ дыры в вордпрессе, друпале и прочих какаCMS? Или там задел на ближайшие 100 лет?

"Уязвимости в Drupal"
Отправлено КГБ СССР , 24-Окт-18 13:57 
> Мне интересно, когда-то вообще могут ЗАКОНЧИТЬСЯ дыры в вордпрессе, друпале и прочих
> какаCMS? Или там задел на ближайшие 100 лет?

Никогда. Точнее, пока не прекратится вот это: https://www.opennet.ru/openforum/vsluhforumID3/115644.html


"Уязвимости в Drupal"
Отправлено Попугай Кеша , 24-Окт-18 14:04 
При чем тут вообще нода?

"Уязвимости в Drupal"
Отправлено КГБ СССР , 24-Окт-18 16:25 
> При чем тут вообще нода?

Купи себе для начала мозг.


"Уязвимости в Drupal"
Отправлено Попугай Кеша , 25-Окт-18 10:16 
У меня он уже есть. А вот у тебя его нет! А-ха-ха-ха-ха!

"Уязвимости в Drupal"
Отправлено КГБ СССР , 25-Окт-18 11:46 
Какая смешная шутка! Заливисто смеюсь! Петросян тобой бы гордился, анон.

"Уязвимости в Drupal"
Отправлено Попугай Кеша , 26-Окт-18 12:22 
> Какая смешная шутка! Заливисто смеюсь! Петросян тобой бы гордился, анон.

Молодец. Возьми с полки пирожок


"Уязвимости в Drupal"
Отправлено Аноним , 24-Окт-18 22:13 
На хабре писали, что на волне sjw-хайпа хотели выгнать из друпала одного из ведущих разрабов за BDSM. И вот последствия

"Уязвимости в Drupal"
Отправлено пох , 24-Окт-18 22:47 
в смысле, теперь твои пользователи не могут устроить тебе сеанс bdsm, и ты по этому поводу плачешь? Баг-то исправлен, а не наоборот - и судя по набору версий, существовал он еще во времена спокойно жизни bdsm'щика.


"Уязвимости в Drupal"
Отправлено Аноним , 29-Окт-18 07:06 
>> Пилить - на голом языке, без cms.

Посмеялся..
И пусть весь мир подождет(с)