严重 Drupal Restful API 远程代码执行漏洞（CVE-2019-6340）

CVE编号

CVE-2019-6340

利用情况

漏洞武器化

补丁情况

官方补丁

披露时间

2019-02-22

漏洞描述

某些字段类型无法在8.5.11之前的Drupal 8.5.x和8.6.10之前的Drupal 8.6.x中正确地清理非格式源中的数据。在某些情况下，这可能导致任意PHP代码执行。如果满足下列条件之一，则站点仅受此影响：站点启用了Drupal 8核心RESTful Web服务（休息）模块并允许PATCH或POST请求，或者站点启用了另一个Web服务模块，如JSON ：Drupal 8中的API，或Drupal 7中的服务或RESTful Web服务。（注意：Drupal 7服务模块本身不需要更新，但如果使用服务，您应该应用与此通报相关的其他贡献更新。）<br>

解决建议

升级至安全版本。

参考链接
http://www.securityfocus.com/bid/107106
https://www.drupal.org/sa-core-2019-003
https://www.exploit-db.com/exploits/46452/
https://www.exploit-db.com/exploits/46459/
https://www.exploit-db.com/exploits/46510/
https://www.synology.com/security/advisory/Synology_SA_19_09

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	drupal	drupal	*	From (including) 8.5.0	Up to (excluding) 8.5.11
	运行在以下环境
	应用	drupal	drupal	*	From (including) 8.6.0	Up to (excluding) 8.6.10

阿里云评分 9.8

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 全局影响
• EXP成熟度 漏洞武器化
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 传输被破坏
• 服务器危害 服务器失陷
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-502	可信数据的反序列化

Exp相关链接

• https://github.com/cved-sources/cve-2019-6340
• https://github.com/d1vious/cve-2019-6340-bits
• https://github.com/DevDungeon/CVE-2019-6340-Drupal-8.6.9-REST-Auth-Bypass
• https://github.com/g0rx/Drupal-SA-CORE-2019-003
• https://github.com/jas502n/CVE-2019-6340
• https://github.com/Kinesys/Kinesys-CVE-2019-6340
• https://github.com/knqyf263/CVE-2019-6340
• https://github.com/ludy-dev/drupal8-REST-RCE
• https://github.com/oways/CVE-2019-6340
• https://github.com/zhzyker/exphub
• https://raw.githubusercontent.com/projectdiscovery/nuclei-templates/master/cves/CVE-2019-6340.yaml
• https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/unix/webapp/drupal_restws_unserialize.rb
• https://www.exploit-db.com/exploits/46452
• https://www.exploit-db.com/exploits/46459
• https://www.exploit-db.com/exploits/46510

- avd.aliyun.com