-




اكتشف خلل دروبال الحرج الثالث - قم بتصحيح مواقعك على الفور


دروبال التصحيح التحديث
اللعنة ! يجب عليك تحديث مواقع دروبال الخاصة بك. 

نعم ، بالطبع مرة أخرى - حرفياً هذه هي المرة الثالثة في آخر 30 يومًا. 

كما تم إخطار مقدمًا قبل يومين ، قام دروبال الآن بإصدار إصدارات جديدة من برمجياته لتصحيح بعض الثغرات الأمنية الهامة الأخرى في تنفيذ التعليمات البرمجية عن بعد ، مما يؤثر على نظامي دروبال 7 و 8 النواة. 

Drupal هو برنامج نظام إدارة محتوى مفتوح المصدر شائع يعمل على تشغيل الملايين من مواقع الويب ، وللأسف ، تعرض CMS لهجمات نشطة منذ الكشف عن ثغرة أمنية خطيرة في تنفيذ التعليمات البرمجية عن بعد.

تم تصحيح الثغرة الحرجة التي تم الكشف عنها سابقا ، والمعروفة باسم Drupalgeddon2 (CVE-2018-7600) ، في 28 مارس ، ولكن ربما التغييرات التي أدخلت لإصلاح هذا الخلل قد فتحت ثغرة حاسمة أخرى في البرنامج الأساسي ، مما اضطر فريق دروبال إلى إطلاق سراح التصحيح. 

ووفقا لجديدة الاستشارية الصادرة عن الفريق، وضعف تنفيذ التعليمات البرمجية عن بعد جديد (CVE-2018-7602) ويمكن أيضا أن تسمح لمهاجمين على المواقع المعرضة للخطر تماما. 

بما أن العيوب السابقة قد استحوذت على الكثير من الاهتمام والمهاجمين المستهدفين لاستهداف المواقع الإلكترونية التي تدير موقع دروبال ، فقد حثت الشركة جميع مسؤولي الموقع على تثبيت بقع أمان جديدة في أقرب وقت ممكن.
  • إذا كنت تقوم بتشغيل 7.x ، قم بالترقية إلى دروبال 7.59.
  • إذا كنت تقوم بتشغيل 8.5.x ، قم بالترقية إلى دروبال 8.5.3.
  • إذا كنت تستخدم الإصدار 8.4.x ، والذي لم يعد مدعومًا ، فيجب عليك أولاً تحديث موقعك إلى إصدار 8.4.8 ثم تثبيت أحدث إصدار 8.5.3 في أقرب وقت ممكن.
"نحن لسنا على علم بأي مآثر نشطة في البرية من أجل الضعف الجديد ،" قال متحدث باسم الدكتورة The Hacker News. "علاوة على ذلك ، فإن الخلل الجديد أكثر تعقيدا من الاندماج معًا في استغلال".
على الرغم من أن التفاصيل الفنية للخلل لم يتم إصدارها في الاستشارة ، فهذا لا يعني أنه يمكنك الانتظار حتى صباح اليوم التالي لتحديث موقع الويب الخاص بك ، معتقدًا أنه لن يتم مهاجمته. لقد رأينا كيف طور المهاجمون عمليات استغلال آلية وأطلقوا بنجاح هجمات ، مستفيدًا من ثغرة دروبالجدون 2 ، في غضون ساعات قليلة بعد أن تم تفصيلها من قبلعمال النظافة العامة والحقن ، و backdoors ، والبرامج الضارة الأخرى في مواقع الويب. وإلى جانب هذين العيوب ، قام الفريق أيضًا بتصحيحضعف في البرامج النصية للمواقع العابرة (XSS) في الأسبوع الماضي ، الأمر الذي كان من الممكن أن يسمح للمهاجمين عن بعد بخلع الهجمات المتقدمة بما في ذلك سرقة ملفات تعريف الارتباط ، وتسجيل المفاتيح ، وسرقة التصيد وسرقة الهوية.

تعليقات

إرسال تعليق

المشاركات الشائعة من هذه المدونة

-
صورة
Astra - Automated Security Testing For REST API's  is complex due to continuous changes in existing APIs and newly added APIs. Astra can be used by security engineers or developers as an integral part of their process, so they can detect and patch vulnerabilities early during development cycle. Astra can automatically detect and test login & logout (Authentication API), so it's easy for anyone to integrate this into CICD pipeline. Astra can take API collection as an input so this can also be used for testing apis in standalone mode. SQL injection Cross site scripting Information Leakage Broken Authentication and session management CSRF (including Blind CSRF) Rate limit CORS misonfiguration (including CORS bypass techniques) JWT attack Coming soon XXE CSP misconfiguration Requirement Linux or MacOS Python 2.7 mongoDB Installation $ git clone https://github.com/flipkart-incubator/Astra $ cd Astra $ sudo pip install -r require...
Plus d'infos »chaker hacker
-
صورة
Snallygaster - Tool To Scan For Secret Files On HTTP Servers Snallygaster is a tool that looks for files accessible on web servers that shouldn't be public and can pose a security risk. Typical examples include publicly accessible git repositories, backup files potentially containing passwords or database dumps. In addition it contains a few checks for other security vulnerabilities. As an introduction to these kinds of issues you may want to watch this talk: Install snallygaster is available  via pypi : pip3 install snallygaster It's a simple python 3 script, so you can just download the file "snallygaster" and execute it. Dependencies are urllib3, beautifulsoup4 and dnspython. Faq Q: I want to contribute / send a patch / a pull request! A: That's great, but please read the  CONTRIBUTIONS.md file. Q: What's that name? A:  Snallygaster  is the name of a dragon that according to some legends was seen in Maryland and other parts of the ...
Plus d'infos »chaker hacker
-
صورة
Intel Processors Now Allows Antivirus to Use Built-in GPUs for Malware Scanning         Global chip-maker Intel on Tuesday  announced  two new technologies—Threat Detection Technology (TDT) and Security Essentials—that not only offer hardware-based built-in security features across Intel processors but also improve threat detection without compromising system performance. Intel's Threat Detection Technology (TDT) offers a new set of features that leverage hardware-level telemetry to help security products detect new classes of threats and exploits. It includes two main capabilities—Accelerated Memory Scanning and Advanced Platform Telemetry. Accelerated Memory Scanning allows antivirus programs to use Intel's integrated GPU to scan and detect memory-based malware attacks while reducing the impact on performance and power consumption.  "Current scanning technologies can detect system memory-based cyber-attacks, but at...
Plus d'infos »chaker hacker