Екипите за сигурност, грижещи се за защитата на популярната система за управление на съдържанието Drupal алармираха, че са открили и адресирали критична уязвимост платформата, която може да позволи изпълнението на зловреден код по дистанционен начин.
CVE-2019-6340 е причинена от липсата на адекватна санитизация при някои апликационни типове, което може да позволи на атакуваща страна да изпълни случаен PHP код. Уязвимостта е открита от Самюел Мортенсън от Drupal Security Team. От екипите по сигурност на Drupal споделят, че експлоатирането на уязвимостта е възможно, ако е включен модула RESTful Web Services и позволява PATCH или POST заявки. Възможно е също така, уязвимостта да бъде експлоатирана успешно, ако и други уеб услуги са активирани, като JSON:API в Drupal 8 или RESTful Web Services и Services в Drupal 7. Версиите на Drupal, в които тези проблеми са адресирани са 8.6.10 и 8.5.11. Версия 7 не е задължително да бъде обнявявана, заради точно този проблем, но все пак има нови версии на някои модули, които е нужно да бъдат наложени. От Drupal съветват, че за избягване на възможността да станете жертва на успешно експлоатиране е добре да бъдат деактивирани всички уеб сервизни модули или сървърът да бъде конфигуриран така, че да не получава PUT/PATCH/POST заявки към ресурси, свързани с уеб услугите.
Най-добре е обаче, разбира се, да наложите по-скоро кръпките, тъй като практиката дупка в уеб платформа да бъде експлоатиране до дни след нейното разкриване, е често срещана. Миналата година, стотици уеб ресурси на основата на Drupal паднаха жертви на успешната експлоатация на две новооткрити критични уязвимости, кръстени Drupalgeddon2 и Drupalgeddon3. С тяхна помощ, хакери разпространяваха с успех криптоминьори, зловредни RAT инструменти и измамнически схеми за инфектиране на системите на посетителите на засегнатите уеб ресурси.
