O Drupal é um famoso sistema de gestão de conteúdo presente em milhões de plataformas da Internet.
A vulnerabilidade em questão trata-se da possibilidade de um atacante executar código remotamente na raiz do sistema, particularmente em PHP.
Dada por CVE-2019-6340, o problema é devido ao facto de alguns campos não sanitizarem de forma apropriada os dados submetidos.
Produtos afetados
- Drupal 7 e 8 Core.
- caso o site tenha o módulo RESTful Web ativado e permita pedidos PATCH ou POST, ou tenhas outros módulos web ativados, de igual mdo
Solução
- configurar o servidor web para não aceitar pedidos PUT/PATCH/POST
- Caso tenha a versão 8.6 fazer a atualização para o 8.6.10
- caso tenha a versão 8.5 atualizar para o Drupal 8.5.11
Mais informações aqui: https://www.zdnet.com/article/drupal-critical-flaw-patch-this-remote-code-execution-bug-urgently-websites-warned/
Mais informações no site oficial do Drupal aqui: https://www.drupal.org/sa-core-2019-003
