» » Memahami Kerentanan Pada Remote Code Execution Drupal core (SA-CORE-2018–002)

Memahami Kerentanan Pada Remote Code Execution Drupal core (SA-CORE-2018–002)


Pada kesempatan kali ini saya akan sedikit membahas tentang permasalahan, bugs/vulnerability yang drupal umumkan pada 28 Maret 2018 sebagai sebuah keretanan yang sangat kritis. Kerentanan tersebut sekarang ditandai sebagai SA-CORE-2018-002. Kerentanan ini memungkinkan seseorang untuk melakukan eksekusi kode jarak jauh menggunakan inti Drupal

Informasi Dasar

Drupal core mengumumkan penasehat keamanan untuk kerentanan yang dinilai sebagai "Sangat Kritis" - peringkat tertinggi yang dimiliki Drupal pada sistem peringkat risiko keamanan mereka, yang didasarkan pada Sistem Penilaian Penyalahgunaan Umum NIST (NISTIR 7864). Jenis kerentanan adalah masalah Eksekusi Kode Remote yang tidak diautentikasi.

Kerentanan ini mempengaruhi inti Drupal dan mempengaruhi versi 7.x, 8.3.x, 8.4.x dan 8.5.x dari Drupal.

Eksploitasi yang sukses akan mengarah pada kompromi potensial dari aplikasi web dan mungkin sistem operasi yang mendasarinya juga.

Apa yang ada di patch?


Melihat sekilas pada 7,58 cabang Drupal yang memperbaiki masalah ini menunjukkan bahwa 1 file baru telah ditambahkan dan file yang sudah ada sebelumnya telah diperbarui.

Direktori "/ termasuk" berisi beberapa file .inc yang dipanggil ketika Drupal diakses untuk mengatur lingkungan server, variabel sisi server dan penanganan data yang diberikan pengguna di server.

Versi rilis baru, 7.58, memiliki file baru bernama 'request-sanitizer.inc' yang berisi fungsi untuk membersihkan input pengguna yang disediakan melalui GET, POST, atau cookie.

patch yang tersedia




Git berkomitmen untuk patch ini di https://github.com/drupal/drupal/commit/19b69fe8af55d8fac34a50563a238911b75f08f7 dengan file baru inti / lib / Drupal / Core / Security / RequestSanitizer.php yang berisi kode untuk membersihkan input pengguna.

Fungsi "sanitasi" menerima parameter yang dikirim melalui GET, POST, dan cookie, dan menggantikan permintaan dengan versi yang disanitasi yang diperoleh dari fungsi 'stripDangerousValues'.

Fungsi utama yang melakukan pembersihan adalah 'stripDangerousValues' di baris 84. Fungsi ini memeriksa apakah input adalah larik dan jika kemudian memeriksa apakah nama kunci parameter masing-masing dimulai dengan #. Pada dasarnya, nilai kembalian akan menghapus # dan mengembalikan array input kembali ke fungsi panggilan.

memeriksa dan memfilter input



Masalah mendasar adalah bahwa inti Drupal (seperti framework lainnya) menerima parameter permintaan sebagai objek larik. Seorang pengguna dapat mengirimkan objek array ke aplikasi dengan keyname berisi payload yang Drupal akan proses tanpa sanitasi.

Eksploitasi vektor?


Mengingat bahwa inti Drupal adalah open source dan diff tersedia, saya berharap eksploit akan segera keluar, yang akan meningkatkan rating tingkat keparahan masalah ini ke 25/25 pada Sistem Penilaian Penyalahgunaan Umum NIST. Melihat patch, eksploit akan terlihat seperti:

index.php?page['#payload']=home.php

Di antara para pengembang Drupal, diketahui bahwa Drupal memungkinkan penggunaan hash di depan properti untuk membedakan antara properti dan elemen anak HTML saat menggunakan API Formulir. Misalnya, $ form ['list'] ['element'] adalah elemen anak, sedangkan $ form ['list'] ['# title'] adalah properti.

Drupal membentuk referensi API memiliki beberapa contoh yang mungkin dapat digunakan untuk membuat exploit - https: //api.drupal.org/api/drupal/developer%21topics%21forms_api_reference.html/7.x

Kesimpulan :

Saran bagi para pengembang atau pengelola situs Drupal adalah untuk sesegara mungkin melakukan pembaharuan atau melakukan update drupal

  Sumber - sumber :
  •   https://www.drupal.org/sa-core-2018-002
  • https://groups.drupal.org/security/faq-2018-002

2 Responses to "Memahami Kerentanan Pada Remote Code Execution Drupal core (SA-CORE-2018–002)"

  1. TRIKNEWSMarch 30, 2018 at 9:57 PM

    Heem... Pokmen sesuatu yang terkait dengan drupal saya hanya merespon dengan kata "OK"....

    Karna ini memang di luar keahlihan saya Mas... Like untuk post nya🍸🌹🌹🍸🌹🌹🍸
    🌹🌹🌹🌹🌹🌹🌹
    🌹🌹🌹🌹🌹🌹🌹
    🍸🌹🌹🌹🌹🌹🍸
    🍸🍸🌹🌹🌹🍸🍸
    🍸🍸🍸🌹🍸🍸🍸
    🍸🍸🍸🌹🍸🍸🍸
    🍸🎁😊❤☺🎁🍸

    ReplyDelete
  2. hummMarch 31, 2018 at 11:05 AM

    Main kesini dapat wawasan penting drupal .. dulu pernah bikin theme drupal tapi buat sehari saja tidak selesai disamping tidak compatible dengan versi selanjutnya kita harus bisa membuat theme yang tidak lelet dan berat.

    ReplyDelete

Komentar yang Anda kirim akan terlebih dahulu di moderasi oleh Admin

Subscribe to:Post Comments (Atom)
nagabet76slot gacorslot online1213141516Slot Online Menghadirkan Pengalaman Digital Yang Didukung Pemrosesan Data Secara Real TimeMahjongways Menganalisis Pola Visual Dan Dinamika Simbol Berdasarkan Pemrosesan Data DigitalMahjongways Mengembangkan Dinamika Permainan Melalui Pengelolaan Data Dan Elemen Visual TerintegrasiAnalisis Komputasi Modern Membantu Memetakan Dinamika Sistem Digital Berdasarkan Data ObservasiMember Baru Mendorong Dinamika Komunitas Digital Menuju Pengalaman Yang Lebih Aktif Dan Menarikslot onlinemahjongwayasarsitektur layananpemrosesan data adaptifmember baruSlot Online Terbaru Menghadirkan AnalisisScatter Hitam Dianalisis Melalui PemetaanPola Scatter Hitam Membentuk Distribusi Visual Yang Dapat Dikaji Menggunakan Komputasi AdaptifArsitektur Teknologi TerdistribusiTeknologi Visualisasi DataMahjongways Mengembangkan Interaksi Visual Melalui Integrasi Simbol Digital Yang DinamisAnalisis Mahjongways Memetakan Dinamika Visual Dan Respons Antarmuka Berbasis DataScatter Hitam Dianalisis Melalui Pemetaan Struktur Simbol Digital Berbasis Komputasi AdaptifAlgoritma Scatter Hitam Membantu Mengidentifikasi Dinamika Pola Melalui Analisis Data ObservasiPg Soft Mengembangkan Sistem Rendering Adaptif Untuk Mendukung Visualisasi Digital ModernTeknologi Pg Soft Mengoptimalkan Pemrosesan Grafis Melalui Arsitektur Rendering TerintegrasiTeknologi Pemodelan Data Membantu Menganalisis Dinamika Informasi Pada Ekosistem Digital ModernArsitektur Komputasi Terdistribusi Meningkatkan Keandalan Pengelolaan Data Pada Platform DigitalTeknologi Kecerdasan Komputasional Mendorong Pengembangan Sistem Digital Yang Lebih AdaptifPemrosesan Data Modern Membantu Memetakan Pola Informasi Melalui Pendekatan Komputasi TerukurTeknologi Integrasi Data Mempermudah Sinkronisasi Informasi Dalam Lingkungan Digital TerpaduVisualisasi Komputasi Modern Membantu Menginterpretasikan Perubahan Pola Pada Sistem Digital KompleksTeknologi Otomasi Data Meningkatkan Efisiensi Pengelolaan Informasi Pada Infrastruktur DigitalModel Komputasi Adaptif Mendukung Pengembangan Teknologi Digital Melalui Analisis Data BerkelanjutanPengembangan Pg Soft Mengintegrasikan Teknologi Rendering Dengan Interaksi Visual Yang ResponsifPg Soft Menerapkan Komputasi Visual Untuk Meningkatkan Efisiensi Pengolahan Elemen DigitalEksplorasi Scatter Hitam Memetakan Distribusi Simbol Melalui Model Analitik Digital TerintegrasiPola Scatter Hitam Dikaji Menggunakan Pendekatan Visualisasi Data Dan Pemodelan StatistikMahjongways Menghadirkan Pendekatan Visual Interaktif Melalui Pemrosesan Simbol Yang AdaptifEksplorasi Mahjongways Mengungkap Perubahan Pola Visual Dalam Lingkungan Digital Terintegrasikasino online dan pergeseran pola hiburan di lingkungan digitalplatform interaktif membentuk perbincangan baru seputar kasino onlineteknologi digital mengubah cara kasino online dikenal penggunakasino online masuk dalam dinamika budaya internet masa kiniperkembangan antarmuka menjadi sorotan di dunia kasino onlinefenomena platform digital membawa kasino online ke arah baruruang media membaca kehadiran kasino online dari sudut berbedakasino online dalam perubahan ekosistem hiburan berbasis teknologiformat interaktif mendorong pembahasan baru tentang platform kasinocatatan era digital mengulas perjalanan platform kasino onlinekasino online dan perubahan pola hiburan di era internetplatform digital membentuk perbincangan baru seputar kasino onlinekasino online dalam sorotan perubahan teknologi interaktifdesain platform menjadi bagian dari perkembangan kasino onlinebudaya internet dan kemunculan kasino online di era digitalkasino online muncul dalam dinamika hiburan berbasis teknologiperubahan platform membawa kasino online ke perspektif yang berbedamedia digital mengulas fenomena kasino online dari sisi teknologiperkembangan internet membuka pembahasan baru tentang kasino onlinekasino online dan pergeseran format hiburan di platform modernmahjong ways dan perubahan gaya visual di layar modernmengenal karakter simbol dalam tampilan mahjong wayscerita di balik popularitas mahjong ways di ruang digitalmahjong ways masuk dalam perbincangan seputar desain interaktifperjalanan mahjong ways dilihat dari sisi kreativitas platformmahjong ways dan kebiasaan pengguna di era hiburan digitalsimbol klasik menjadi inspirasi tampilan mahjong wayskomunitas online membuka percakapan baru tentang mahjong waysmahjong ways dalam potret perubahan budaya game masa kinisisi unik mahjong ways dari perspektif desain dan teknologipragmatic play dan perubahan gaya game online di era digitalragam game pragmatic play dalam perkembangan hiburan interaktifpragmatic play mengenalkan beragam tema dalam dunia game moderndesain visual menjadi ciri tersendiri dari game pragmatic playperjalanan pragmatic play di tengah perubahan ekosistem game onlinegame online pragmatic play muncul dengan konsep visual yang beragamteknologi mobile ikut membentuk perkembangan game pragmatic playmengenal karakter game pragmatic play dari sisi desain digitalpragmatic play dan pergeseran tren game berbasis platformruang digital membawa game pragmatic play ke perbincangan modernmahjong ways dan jejak visual dalam game digital masa kiniblack scatter mengangkat konsep simbolik di lingkungan game moderngates of olympus membawa tema mitologi ke dunia game interaktifsweet bonanza dikenal melalui konsep visual yang penuh warnamahjong wins dan perubahan gaya game bernuansa klasikstarlight princess menghadirkan sentuhan fantasi dalam game digitalmahjong ways 2 menggabungkan unsur klasik dengan format modernfortune tiger menampilkan karakter budaya dalam konsep game digitaldragon tiger membawa tema hewan ke format permainan interaktifmahjong treasures dan perpaduan simbol tradisional dengan teknologimahjong menyimpan jejak budaya yang melintasi perubahan zamansimbol mahjong menggambarkan pertemuan tradisi dan permainan moderndari meja tradisional mahjong berkembang mengikuti era digitalmahjong dan cerita panjang di balik pola serta simbolnyawarisan klasik membuat mahjong tetap dikenal di generasi berbedaperubahan teknologi memberi sudut pandang baru terhadap mahjongmahjong menjadi potret pertemuan budaya dan inovasi permainanmengenal sejarah mahjong dari tradisi hingga format digitalpola dan simbol menjadi bagian penting dalam cerita mahjongmahjong dan perjalanan panjangnya menuju budaya game modernmahjong ways menghadirkan nuansa klasik dalam format permainan modernjejak simbol tradisional terlihat dalam perkembangan mahjong waysketika desain digital memberi wajah baru pada mahjong waysmahjong ways dan perjalanan visualnya di tengah era game interaktifperubahan gaya hiburan membawa mahjong ways ke perbincangan digitalmengenal karakter visual mahjong ways dari sudut yang berbedaruang digital menjadi bagian dari perjalanan mahjong ways masa kinimahjong ways muncul bersama pergeseran tren game berbasis gawaicerita di balik tampilan mahjong ways dalam ekosistem game modernformat interaktif membuka perspektif baru terhadap mahjong waysqris pg soft mengikuti perubahan pola transaksi di era digitalformat pembayaran modern membawa qris ke lingkungan game pg softpg soft dan qris dalam perkembangan sistem transaksi berbasis mobilepergeseran transaksi nontunai mendorong pembahasan qris pg softqris menjadi bagian dari perbincangan teknologi pembayaran pg softlayanan digital mengenalkan peran qris dalam ekosistem pg softpembayaran mobile dan kehadiran qris pada platform game pg softqris pg soft dalam catatan perkembangan ekonomi digitalsistem pembayaran qris menemukan ruang di layanan pg softperkembangan teknologi transaksi mengarah pada penggunaan qris pg softpg soft membangun identitas game melalui visual yang khasperjalanan provider pg soft dan perkembangan game berbasis mobilepg soft menghadirkan ragam tema dalam ekosistem game digitaldesain interaktif menjadi salah satu ciri game buatan pg softnama pg soft muncul dalam perkembangan industri game mobileragam game pg soft memperlihatkan perubahan gaya hiburan digitalteknologi mobile membuka ruang baru bagi game dari pg softpg soft dan perjalanan desain game menuju pengalaman visual modernkarakter visual menjadi bagian dari perkembangan game pg softekosistem game digital mengenal format beragam dari pg softmemahami angka rtp dan perannya dalam membaca informasi gamepola permainan sering dibahas bersama istilah rtp di komunitas digitalrtp dan pola game perlu dilihat sebagai informasi yang berbedaangka rtp tidak menjadi jaminan hasil pada setiap putaranmengenal perbedaan statistik rtp dengan pola hasil permainanpola dan rtp menjadi topik yang sering muncul dalam pembahasan gamecara memahami informasi rtp tanpa menganggapnya sebagai prediksicatatan statistik game membahas rtp dan perubahan hasil dari waktu ke wakturtp dalam game digital dan kesalahpahaman seputar pola permainanmembaca data rtp secara kritis di tengah perbincangan pola gametagihan menumpuk menjadi salah satu konsekuensi kebiasaan judi onlinejudi online dapat mengubah cara seseorang mengelola pemasukanhubungan keluarga ikut terdampak ketika kebiasaan berjudi tidak terkendaliwaktu istirahat terganggu di tengah kebiasaan judi online yang berulangkerugian finansial dan tekanan pikiran sering muncul secara bersamaanjudi online dapat membawa persoalan baru ke lingkungan sosialpola pengeluaran berubah saat kebiasaan bermain mulai sulit dikendalikantekanan emosional mengikuti persoalan keuangan akibat judi onlinekebiasaan berjudi berlebihan dapat mengganggu fokus dalam aktivitas hariandampak judi online terlihat dari perubahan keuangan waktu dan relasimahjong menyimpan jejak permainan yang melintasi generasi dan budayasimbol lama mahjong menemukan makna baru di tengah zaman moderndari meja tradisional hingga layar digital perjalanan mahjong terus berubahmahjong dan cerita budaya di balik ragam simbol permainannyapertemuan tradisi dan teknologi mengubah cara mahjong dikenalmahjong menjadi potret permainan klasik yang bertahan di era digitalwarisan permainan lama membuka perspektif baru tentang mahjongpola dan simbol mahjong menggambarkan perjalanan sejarah yang panjangmahjong memasuki era baru tanpa meninggalkan identitas klasiknyacerita mahjong berkembang dari tradisi menuju budaya permainan modernqris pg soft dan perubahan metode pembayaran di platform digitalmengenal penggunaan qris pada layanan game pg softpembayaran qris pg soft dalam perkembangan transaksi digitalqris dan pg soft muncul dalam perbincangan sistem pembayaran modernteknologi pembayaran membawa qris ke ekosistem game pg softqris pg soft dilihat dari sisi perkembangan transaksi nontunaiperubahan kebiasaan digital dan kehadiran qris pada pg softsistem nontunai mengenalkan qris dalam layanan game pg softqris pada pg soft dan pergeseran format pembayaran era digitalcatatan transaksi digital seputar penggunaan qris pg softmahjong ways muncul dengan konsep visual yang mengikuti era game digitalblack scatter dan karakter simbolik dalam permainan berbasis layargates of olympus membawa nuansa mitologi ke dunia game interaktifmahjong wins dikenal lewat perpaduan simbol klasik dan gaya modernsweet bonanza menampilkan konsep warna warni dalam game digitalmahjong ways 2 menggabungkan nuansa tradisional dengan tampilan kekinianstarlight princess hadir dengan identitas visual bernuansa fantasidragon tiger menghadirkan tema hewan dalam format game modernmahjong treasures mengangkat unsur klasik ke lingkungan permainan digitalfortune tiger menjadi bagian dari ragam tema game digital masa kinikasino online dan perubahan cara platform digital membangun pengalaman penggunaantarmuka modern menjadi bagian dari perkembangan kasino onlineruang digital membentuk wajah baru platform kasino di internetkasino online dalam perbincangan seputar teknologi dan hiburan digitalpergeseran kebiasaan internet ikut memengaruhi popularitas platform kasinofitur interaktif membuat platform kasino online terlihat semakin beragamkasino online dan dinamika platform yang terus mengikuti arah teknologibudaya internet membuka pembahasan baru mengenai kasino onlineperkembangan desain platform mengubah tampilan kasino di era digitalfenomena kasino online dilihat dari perubahan ekosistem platform modernlayar kecil membawa mahjong online masuk ke kebiasaan hiburan barumahjong online menjadi bagian dari pergeseran gaya bermain generasi digitaldari desktop ke gawai perjalanan mahjong online terus berubahpengguna internet menemukan format berbeda lewat mahjong onlineketika permainan klasik bertemu kebiasaan digital mahjong onlinemahjong online muncul di balik perubahan cara orang menikmati gamecerita baru hiburan digital berawal dari populernya mahjong onlineruang layar yang berubah membentuk wajah baru mahjong onlinejejak permainan klasik ikut beradaptasi bersama mahjong onlinemahjong online dan pergeseran minat pada hiburan berbasis gawaisimbol gelap menjadi ciri yang membuat black scatter mudah dikenaliblack scatter muncul dari perpaduan visual dan konsep game modernperhatian pengguna tertuju pada karakter simbol black scatterblack scatter dan perubahan gaya ilustrasi dalam game digitalkonsep visual berani membawa black scatter ke arah yang berbedadunia game mengenal black scatter melalui tampilan simboliknyablack scatter menawarkan sudut visual berbeda di tengah game digitalperpaduan warna dan simbol membentuk identitas black scatterblack scatter dalam perjalanan desain game menuju era interaktifkarakter unik black scatter terlihat dari detail visual permainannyalayar gawai membawa mahjong ways ke kebiasaan hiburan digital barublack scatter muncul di tengah perubahan gaya game interaktifcerita visual berbeda terlihat dalam mahjong wins era modernketika simbol klasik bertemu format baru mahjong ways 2golden empire menjadi bagian dari perbincangan game digital masa kiniperubahan tampilan menghadirkan sudut baru pada mahjong treasuresgame online mengenal format berbeda melalui jade dynastynuansa klasik dan gaya modern bertemu dalam mahjong fortunedragon tiger muncul dalam pergeseran tren game berbasis gawaiperjalanan visual game digital mengarah pada format seperti gates of olympus