Главная Новости

UPD Процесс обновления Drupal небезопасен


Опубликовано: 24.10.2017

Сотрудник компании IOActive Фернандо Арнаболди (Fernando Arnaboldi) обнаружил сразу несколько проблем в системе обновления популярной CMS Drupal. Исправлений для найденных багов пока нет.

Drupal входит в тройку самых популярных в мире систем управления контентом, наряду с Joomla и WordPress. И проблем у Drupal ничуть не меньше, чем у коллег по рынку.

Как и любая современная CMS, Drupal старается максимально упросить процесс обновления. Администратору достаточно нажать на соответствующую кнопку в панели управления, чтобы инициировать апдейт. Также предусмотрена система автоматической проверки обновлений как для самой CMS, так и для дополнительных модулей. Это позволяет администратору вовремя узнать о новых патчах, а затем применить их буквально в два клика. Однако Фернандо Арнаболди пишет, что упрощение не всегда идет на пользу безопасности.

Исследователь обнаружил , что автоматическая проверка обновлений работает весьма странно. В случае возникновения каких-либо проблем со связью, Drupal не может проверить наличие обновлений, однако не уведомляет об этом пользователя. Вместо этого CMS все равно отображает сообщение, согласно которому, на сервере работает актуальное ПО самых последних версий.

Любопытно, что Drupal 6 отображал сообщение о проблемах со связью, если возможность проверки обновлений пропадала, а вот Drupal 7 и 8 уверяют администратора, что все по-прежнему хорошо.

Конечно, всегда можно самостоятельно нажать на кнопку «Проверить обновления вручную». Однако Арнаболди заметил, что данная ссылка содержит CSRF (cross-site request forgery) уязвимость. Эту функцию можно использовать для проведения SSRF-атаки (server-side request forgery) на drupal.org. То есть сайт будет посылать на updates.drupal.org бесконечную череду запросов. Эта проблема не касается только Drupal 8.

rss