На прошлой неделе разработчики Drupal выпустили патч для критической уязвимости в сторонней библиотеке pear Archive_Tar, входящей в состав CMS. Дело в том, что для этой проблемы уже созданы эксплоиты, свободно доступные в сети.
Обнаруженная в библиотеке проблема получила идентификатор CVE-2020-36193. Баг относится к типу out-of-path извлечения данных и связан с «операциями записи в обход каталогов из-за некорректной проверки символических ссылок». После использования бага злоумышленник сможет изменять или удалять любые данные, а также получит полный доступ ко всей непубличной информации на скомпрометированном сервере. Уязвимость была исправлена в составе Drupal версий 9.1, 9.0, 8.9 и 7.
Для успешной эксплуатации уязвимости хакеру понадобится доступ к учетным записям с базовыми правами, и сервер при этом должен быть сконфигурирован не совсем обычными образом. Так, использование бага возможно лишь в том случае, если в CMS разрешена загрузка и обработка файлов .tar, .tar.gz, .bz2 и .tlz.
Также сообщается, что эта уязвимость связана с другим критическим багом в библиотеке pear Archive_Tar (CVE-2020-28948), который был устранен в ноябре прошлого года и мог приводить к выполнению произвольного PHP-кода в некоторых версиях CMS.
