【漏洞通告】Drupal 程式碼執行漏洞（CVE-2022-25277）

2022-07-21程式維他命安全

0x00 漏洞概述

CVE ID	CVE-2022-25277	發現時間	2022-07-21
類型	程式碼執行	等級	嚴重
遠端利用		影響範圍
攻擊複雜度		使用者互動
PoC/EXP		在野利用

0x01 漏洞詳情

Drupal是使用PHP語言編寫的開源內容管理框架（CMF），它由內容管理系統（CMS）和PHP開發框架（Framework）共同構成。

7月20日，Drupal項目發佈安全公告，修復了Drupal 核心中的一個程式碼執行漏洞（CVE-2022-25277），該漏洞與Drupal中已修復的多個歷史漏洞有關。

在受影響的Drupal版本中，如果網站被配置為允許上傳帶有htaccess副檔名的檔案，則這些檔案的檔案名將不會被正確清理，可以利用此漏洞繞過Drupal核心的默認.htaccess檔案提供的保護，並在 Apache Web 伺服器上遠端執行程式碼。

但這需要管理員顯式配置檔案欄位以允許htaccess作為副檔名（受限許可權）或允許其它不安全配置。

影響範圍

Drupal 9.4版本：< 9.4.3

Drupal 9.3版本：< 9.3.19

0x02 安全建議

目前此漏洞已經修復，受影響使用者可以升級到Drupal 版本9.4.3和9.3.19。

注：9.3.x 之前的所有 Drupal 9 版本和Drupal 8已停止維護，Drupal 7 核心不受此漏洞影響。

下載連結：

https://www.drupal.org/project/drupal/releases

排查：

受影響使用者可以通過審核檔案目錄的.htaccess，以確保它沒有被覆蓋或在子目錄中被改寫。如果網站伺服器使用Apache httpd 和AllowOverride，則應該在檔案目錄和子目錄內進行檢查，確保不存在可疑的.htaccess檔案。可以通過在公共和私人檔案目錄的根目錄運行以下命令來搜尋名為.htaccess的檔案：

find ./ -name “.htaccess” –print

注意，Drupal在公共檔案目錄的根目錄自動創建如下.htaccess檔案，系統管理員可以參考核實給定檔案目錄的正確.htaccess配置。