For the English version of this alert, click here.
Allele Security Alert
ASA-2019-00108
Identificador(es)
ASA-2019-00108, CVE-2019-6340, SA-CORE-2019-003
Título
Execução remota de código se módulo REST estiver ativado
Fabricante(s)
Drupal Association
Produto(s)
Drupal
Versão(ões) afetada(s)
Drupal 8.6.x anterior à 8.6.10
Drupal 8.5.x anterior à 8.5.11
Versão(ões) corrigida(s)
Drupal versão 8.6.10
Drupal versão 8.5.11
Prova de conceito
Sim
Descrição
Alguns tipos de campo não limpam adequadamente os dados de fontes que não são de formulário. Isso pode levar à execução de código PHP arbitrário em alguns casos.
Um site só é afetado por isso se uma das seguintes condições for atendida:
- O site tem o módulo principal de RESTful Web Services (rest) do Drupal 8 habilitado e permite solicitações GET, PATCH ou POST, ou
- site tem outro módulo de web service ativado, como JSON: API no Drupal 8, ou Serviços ou Serviços Web RESTful no Drupal 7.
Detalhes técnicos
Desconhecido
Créditos
Samuel Mortenson (Drupal Security Team)
Referência(s)
Drupal core – Highly critical – Remote Code Execution – SA-CORE-2019-003
https://www.drupal.org/node/3034490
Drupal SA-CORE-2019-003 远程命令执行分析
https://paper.seebug.org/821/
SA-CORE-2019-003 by samuel.mortenson, Berdir, pwolanin, dawehner, cas… · drupal/core@24b3fae
https://github.com/drupal/core/commit/24b3fae89eab2b3951f17f80a02e19d9a24750f5
Exploiting Drupal8’s REST RCE (SA-CORE-2019-003, CVE-2019-6340)
https://www.ambionics.io/blog/drupal8-rce
CVE-2019-6340 POC Drupal rce
https://github.com/oways/CVE-2019-6340
CVE-2019-6340
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6340
CVE-2019-6340
https://nvd.nist.gov/vuln/detail/CVE-2019-6340
Se encontrou algum erro neste alerta ou deseja uma análise compreensiva, entre em contato.
Última modificação: 14 agosto 2019