■ 漏洞描述
近日，Drupal官方发布安全公告，公告提示Drupal第三方库存在严重漏洞，攻击者可利用该漏洞执行恶意代码，可导致获取服务器权限等风险。如果将Drupal配置为允许.tar，.tar.gz，.bz2或.tlz文件上传并执行，则可能会导致该漏洞的利用。该漏洞是由于第三方库Archive_Tar（1.4.11之前版本）中的Tar.php导致。由于符号链接检查不充分从而可导致目录穿越的写操作（与CVE-2020-28948相关类似），目前互联网上已披露漏洞利用相关poc。
 
■ 影响范围
Drupal 7系列，版本号 < 7.78
Drupal 8.9系列，版本号 < 8.9.13
Drupal 9.0系列，版本号 < 9.0.11
Drupal 9.1系列，版本号 < 9.1.3
 
■ 漏洞检测
匹配系统版本
 
■ 漏洞修复
更新至官方最新版本
 
■ 临时修复
禁用.tar，.tar.gz，.bz2或.tlz文件的上传
 
■ 漏洞详情
https://nosec.org/home/detail/4657.html