Всім привіт! Як відомо, Drupal є відкритою платформою управління контентом. Він створений і використовується при підтримці активного та різноманітного спільноти людей по всьому світу. Одна з останніх версій, Drupal 7, використовується величезною кількістю сайтів, і всі вони виявилися вразливими. За допомогою цієї уразливості можна створити довільний SQL-запит до бази даних Drupal 7 не маючи ніяких прав доступу до самої системи.
Ступінь небезпеки цієї SQL уразливості визначили, як найвищу. І ось, 15 жовтня розробники нарешті випустили латочку, оновлення ядра Drupal до версії 7.32. Найцікавіше в цій історії, що інформація про цю SQL-ін’єкції в багтрекері друпал почала надходити аж 11 місяців тому, але з якихось причин, вона не дійшла до Security Team відразу. Коротше, зараз разраб настійно вимагають оновити ядро, як можна швидше. Радує те, що повністю оновлювати Drupal не потрібно, достатньо замінити файл /includes/database/database.inc. Без цього оновлення спасти сайти не вийде ніяким чином, хіба що блокування сайту, maintenance mode не допоможе. Робиться це просто:
Оновлення Drupal 7.31 на 7.32
- завантажуєте на офсайті останню версію Drupal 7.32
- разархівіруете в папку на локальному компі
- переходьте за вказаною вище шляху
- копіюєте на хостинг, в папку з сайтом, шляхом заміни необхідний файл database.inc
Чим небезпечна SQL уразливості в Drupal 7
Найнебезпечніше, що не гарні “товариші” отримують доступ до зміни, видалення баз даних, а так само можливість зробити дамп і т. д. Я більше, ніж упевнений, що ця можливість SQL-ін’єкції неминуче призведе до злому величезної кількості сайтів найближчим часом. На підтвердження цього наведу трохи статистики:
Я не думаю, що всі, хто використовує в роботі Drupal 7, так швидко дізнаються про цю SQL ін’єкції, не кажучи вже про те, що встигнуть оновитися.
Рекомендую до прочитання: Основні складові SEO
Дана уразливість була виявлена Стефаном Хорстом, вона дозволяє без автентифікації на сервері виконувати довільні SQL-запити від будь-якого користувача через інтернет. Всім повинно бути зрозуміло, що це дає право кому завгодно “знущатися” над вашим сайтом під управлінням Drupal 7. Крім копіювання БД можна, наприклад, запустити сторонній код.
Переконливе прохання до всіх читачів та гостей мого блогу, поділіться цією новиною з народом, хоча б через кнопки соц мереж під статтею. Спасибі!
