شناسايي ضعف‌هاي امنيتي در Drupal

واضح آرشیو وب فارسی:همکاران سیستم: شناسايي ضعف‌هاي امنيتي در Drupal

دروپال نرم‌افزاري رايگان و مبتني بر كد‌باز براي مديريت محتوا، توسعه برنامه‌هاي كاربردي مبتني بر وب و ايجاد بلاگ است.

تيم امنيتي FrSIRT در گزارش شماره FrSIRT/ADV-2008-2913 خود كه دوشنبه 27 اكتبر (شش آبان) منتشر كرد، از شناسايي چندين ضعف امنيتي نيمه‌خطرناك در Drupal خبر داده است.

هكرها با استفاده از اين آسيب‌پذيري‌ها مي‌توانند تمهيدات امنيتي را دور زده و به اطلاعات حساس و باارزش دست يابند.

بروز يك خطا به هنگام اجراي برنامه بر سروري كه براي ميزبان‌هاي مجازي IP-based تنظيم شده، عامل ايجاد نقص اول عنوان شده است. در اين حالت اين امكان وجود دارد كه فايل‌هاي دلخواه، خارج از دايركتوري ريشه اجرا گردد.

دومين مشكل از بروز خطاي input¬ validation به هنگام پردازش عناوين book pages ناشي شده و مجرمان سايبر با استفاده از اين خطا مي‌توانند با فراهم كردن دسترسي "create book content" براي خود، يا ايجاد دسترسي ويرايش نودها در book hierarchy، اسكريپت‌هاي دلخواه را اجرا نمايند.

اين آسيب‌پذيري‌ها كه هم به صورت Locally و هم به صورت Remotely مي‌تواند دستمايه سوءاستفاده هكرها واقع شود، توسط Anthony Ferrara و Maarten van Grootel گزارش شده است.

باگ‌هاي يادشده براي Drupal versions prior to 5.12 و Drupal versions prior to 6.6 گزارش شده و راه‌حل آن نيز عبارت است از: به‌روزرساني به نسخه Drupal 5.12 يا دريافت بسته‌هاي تكميلي از http://drupal.org/files/sa-2008-067/SA-2008-067-5.11.patch و نيز به‌روزرساني به Drupal 6.6 و دريافت patch از آدرس http://drupal.org/files/sa-2008-067/SA-2008-067-6.5.patch.

گفتني است دروپال به زبان برنامه‌نويسي PHP نوشته شده است ولي براي مديريت وب‌سايت‌هاي مبتني بر دروپال نيازي به دانستن اين زبان نيست.
سه شنبه 7 آبان 1387

این صفحه را در گوگل محبوب کنید

[ارسال شده از: همکاران سیستم]

[مشاهده در: www.systemgroup.net]

[تعداد بازديد از اين مطلب: 115]