Morphoneme

【漏洞预警】Drupal远程代码执行漏洞CVE-2018-7602

发表时间：2018-05-03 09:43

2018年4月25日，Drupal官方团队发布了一则Drupal远程代码执行漏洞的修复公告，同时发布了该漏洞的最新补丁，此漏洞对应的CVE编号为CVE-2018-7602。由官方公告得知，此次补丁的更新主要是为了进一步修复2018年3月28日Drupal曝出的一个远程代码执行漏洞（CVE-2018-7600）。

千里百科

Drupal是使用PHP语言编写的开源内容管理框架（CMF），它由（CMS）和PHP开发框架（Framework）共同构成。其中Framework是指Drupal内核中的功能强大的PHP类库和PHP函数库，以及在此基础上抽象的Drupal API。Drupal综合了强大并可自由配置的功能，能支持从个人博客（Personal Weblog）到大型社区驱动（Community-Driven）的网站等各种不同应用的网站项目，应用十分广泛。并且Drupal的代码在安全性、健壮性上具有世界最高水平，使得国外包括美国白宫、美国商务部、、[url=//baike.baidu.com/item/SONY%22%20%5Ct%20%22]SONY[/url]等多家政府以及机构采用建站，在国内，也有许多高校采用Drupal来建设网站。

漏洞描述

2018年3月28日，官方更新了Drupal远程代码执行漏洞（CVE-2018-7600）的补丁，随后两周，研究人员在网上放出了此漏洞的PoC代码。官方最初的修复主要是对用户输入的带#的数组进行过滤，以防止利用Drupal的渲染数组来利用此漏洞进行攻击。从最新的更新补丁来看，之前官方的处置措施已被攻击者绕过，攻击者仍能利用此漏洞对Drupal站点进行攻击。

从此次更新的补丁来看，主要有两部分有大的变化，第一部分变化是对过滤流程的更新：

2018年3月28日更新布丁中新增的class RequestSanitizer类，其中的sanitize函数采用白名单的方式直接利用stripDangerousValues方法将用户的Query string parameters、Request body parameters、Cookie数据进行判定过滤，过滤的方式即将数组中的#去掉。下图中左侧为Drupal v8.5.2版本中的过滤流程，右侧为最新Drupal v8.5.3的sanitize函数过滤流程。