یک آسیب‌پذیری حیاتی در یکی از ماژول‌های دروپال ۱۲۰ هزار وب‌گاه را در معرض خطر قرار داده است

یک آسیب‌پذیری حیاتی در یکی از ماژول‌های دروپال کشف شده است. این ماژول در بسیاری از وب‌گاه‌های دروپال مورد استفاده قرار می‌گیرد. هرچند که این آسیب‌پذیری وصله شده است ولی توسعه‌دهندگان دروپال به کاربران توصیه کرده‌اند به نسخه‌های جدیدتر این ماژول مهاجرت کنند چرا که نسخه‌ای که تحت تأثیر قرار گرفته بود چندین سال است که به‌روزرسانی نشده است.

گروه امنیت دروپال در تاریخ ۲۳ فروردین به کاربران خود هشدار داد که در یکی از ماژول‌هایی که توسط نهاد ثالث توسعه داده شده با نام References، یک آسیب‌پذیری حیاتی وجود دارد. این ماژول در حال حاضر بر روی بیش از ۱۲۱ هزار وب‌گاه مورد استفاده قرار می‌گیرد و به کاربران اجازه می‌دهد مراجع بیشتری بین گره‌ها در برخی از معماری‌های پیچیده‌ی اطلاعاتی اضافه کنند.

ماژول References از همان ابتدا توسط توسعه‌دهندگان دروپال مورد پشتیبانی قرار نگرفته است چرا که آخرین به‌روزرسانی مربوط به آن در فوریه‌ی سال ۲۰۱۳ میلادی است. با این‌حال در ۲۵ فروردین، گروه امنیت دروپال اعلام کرد که احتمالاً نگهدارنده‌های جدیدی را برای این ماژول پیدا کند. روز سه‌شنبه دروپال اعلام کرد این آسیب‌پذیری با انتشار نسخه‌ی ۷.۲.۲ وصله شده است. در این به‌روزرسانی علاوه بر وصله‌ی آسیب‌پذیری، ویژگی‌های جدید دیگری نیز ارائه شده است.

محققان امنیتی دروپال برای جلوگیری از بهره‌برداری، اطلاعاتی در مورد این آسیب‌پذیری منتشر نکردند ولی محققان معتقدند مهاجمان می‌توانند با انجام تحلیل و بررسی بر روی کد منبع ماژول، آسیب‌پذیری را کشف کنند. دروپال اعلام کرده در هفته‌های آینده جزئیات این آسیب‌پذیری را منتشر خواهد کرد. هرچند دروپال در نظر دارد نگهدارنده‌ی جدیدی را برای ماژول References استفاده کند ولی کاربران دروپال گزینه‌ی دیگری نیز دارند و می‌توانند از ماژول Entity Reference که دارای قابلیت‌های مشابه است استفاده کنند. شاید گزینه‌ی مناسب برای کاربران همین مهاجرت از ماژول فعلی به ماژول جدید باشد.

اینک مهاجمان از این مسئله مطلع شده و می‌دانند که با استفاده از ماژول‌های ثالث می‌توانند وب‌گاه‌های دروپال را هدف حمله‌ی خود قرار دهند. سال قبل محققان امنیتی شاهد بودند که تا دو ماه بعد از وصله‌ی یک آسیب‌پذیری بر روی ماژول RESTWS، بهره‌برداری از آن همچنان ادامه داشت. یکی از آسیب‌پذیری‌های معروف و شناخته‌شده‌ی دروپال در چند سال گذشته، آسیب‌پذیری Drupalgeddon است که پس از دو سال که از وصله‌ی آن می‌گذرد، همچنان مورد بهره‌برداری قرار می‌گیرد.

منبع: asis

درباره نماد امنیت وب

کانال اخبار فناوری اطلاعات نماد امن

“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.