PT-2020-4195 · Drupal · Drupal Core

Lorenzo G

+1

·

Publicado

2020-06-17

·

Atualizado

2024-03-06

·

CVE-2020-13664

CVSS v2.0

9.3

Alta

VetorAV:N/AC:M/Au:N/C:C/I:C/A:C
**Nome do software vulnerável e versões afetadas:
Versões do Drupal Core anteriores à 8.8.8
Versões do Drupal Core anteriores à 8.9.1
Versão 9.0.1 do Drupal Core
Descrição:
O problema está relacionado a uma vulnerabilidade que permite a execução arbitrária de código PHP em determinadas circunstâncias. Um invasor poderia induzir um administrador a visitar um site malicioso, resultando na criação de um diretório com nome cuidadosamente escolhido no sistema de arquivos. Com esse diretório criado, um invasor poderia tentar explorar uma vulnerabilidade de execução remota de código por força bruta. É mais provável que esse problema afete servidores Windows. A vulnerabilidade está associada à autenticação insuficiente de solicitações executadas, o que poderia permitir que um invasor remoto executasse código arbitrário.
Recomendações:
Para versões do Drupal Core anteriores à 8.8.8, atualize para a versão 8.8.8 ou posterior.
Para versões do Drupal Core anteriores à 8.9.1, atualize para a versão 8.9.1 ou posterior.
Para a versão 9.0.1 do Drupal Core, atualize para uma versão posterior à 9.0.1.
Como solução temporária, considere restringir o acesso ao sistema de arquivos para minimizar o risco de exploração.

Exploit

Correção

RCE

CSRF

Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2020-04629
BIT-DRUPAL-2020-13664
CVE-2020-13664
DRUPAL-CORE-2020-005
GHSA-X72F-GGJW-V5XH

Produtos afetados

Drupal Core