حملات امنیتی بر ضد Drupal با استفاده از آسیب‌پذیری Drupalgeddon 2 آغاز شده است

آوریل ۲۰۱۸

در تاریخ ۲۸ مارس ۲۰۱۸ آسیبپذیری از درجه بسیار حیاتی در Drupal  با نام Drupalgeddon 2 اعلام شد. این آسیبپذیری به مهاجم اجازه میدهد تا اختیار کامل سایت را در دست بگیرد. شرکت آرمان داده پویان متعاقبا اطلاع رسانی در مورد این آسیبپذیری را به فارسی منتشر ساخت، برای اطلاعات بیشتر میتوانید به اخبار آسیبپذیری آرمان داده پویان مراجعه نمایید.

راهکار  متخصصین امنیت Drupal ارتقا به آخرین نسخه ۷ یا ۸ Drupal بود.  به هر حال، بعد از اعلام عمومی آسیبپذیری گزارشها حاکی از آن است که اقداماتی برای سواستفاده از آن صورت پذیرفته است اما تا کنون مورد موفقی گزارش نشده است. هنوز هم تعداد زیادی سایت با نسخههای آسیبپذیر Drupal در اینترنت مشاهده میشود. متخصصان به شدت تاکید دارند اگر از نسخه ۷ استفاده میکنید به ۷٫۵۸ و در صورت استفاده از نسخه ۸ به ۸٫۵٫۱ ارتقا دهید.

شرح آسیب‌پذیری

Drupal در نسخه ۶ اقدام به معرفی API Form نمود. در نتیجه تغیر فرم در حین عملیات رندر کردن هم امکانپذیر شد. API Form انقلابی در روند نشانهگذاری محسوب میگردد. در نسخه ۷ Drupal، این ویژگی کمی عمومیتر شد و نام آن به آرایههای قابل رندر شدن (Renderable Arrays) تغییر کرد. این آرایهها شامل کلان دادههایی هستند که در روند رندر کردن صفحات مورد استفاده قرار میگیرند. میتوانید در پایین مثالی از این آرایهها راببینید:

 

‘#type’ => ‘markup’,

‘#markup’ => ‘some text’,

‘#prefix’ => ‘

‘#suffix’ => ‘

 

 

کاری که در ارائه وصله برای رفع این آسیبپذیری صورت پذیرفت چه بود

در وصله ارائه شده یک کلاس با نام Request Sanitizer ارائه شده است. تمام مواردی را که در یک آرایه ورودی با علامت هش شروع میشوند را حذف میکند. این روش بر روی تمام دادههایی که از طریق متد GET، POST و کوکیها در مراحل اولیه یعنی بلافاصله بعد از بارگذاری پیکربندی سایت وارد میشوند اعمال میگردد.

نتیجه‌گیری:

همانطور که میدانید وبسایتهای زیادی با Drupal ساخته شده است، پس این آسیبپذیری با درجه اهمیت بالایی که دارد میتواند در سطح وسیعی مشکل بیافریند . بسیار مورد توجه مهاجمان واقع گردد. سواستفاده از این آسیبپذیری میتواند اختیار کامل وبسایت سازمان شما را به مهاجمین بدهد. در نتیجه ارتقا به نسخههای ارائه شده توسط drupal  امری واجب و ضروری به نظر میرسد.

آرمان داده پویان ارائه‌کننده سنجش نفوذپذیری در ایران