Drupal 6,7,8 - highly critical - remote code execution

Интересно, тут только я вижу некий символизм и причастность русских хакеров разработчиков?

Ведь этот символ только у нас называется "решётка" и даёт прямой отсыл к слову "решето" ...

Здесь явно был какой-то злой умысел :)

[umka], не стоит искать заговор там, где можно все объяснить простой человеческой глупостью. Нет фильтрации/санации данных пользователя, а команда #execute есть 😒

10 лет чтоле уязвимость существовала? 0_о

Оптимизайка, Как я понимаю даже форма поиска может выполнить код ?

neoks, любая форма

highly likely 🤪

хомяки, сплойт есть?

Идёт активное сканирование и регулярный взлом сайтов на друпал с этой уязвимостью.

Обязательно проверте свой сервер на наличие странных файлов в корневой папке сайта.

Также, посмотрите загрузку CPU своего сервера. Если есть постоянная равномерная загрузка, особенно ночью - вам засадили скрипт майнинга на сервер!

А ещё 25 апреля они ещё одну критическую уязвимость нашли:

https://www.drupal.org/sa-core-2018-004

Всю эту эпопею с заражением друпалов называют Drupageddon.

Вот тут очень хорошая статью о том, как вирус работает:

https://www.volexity.com/blog/2018/04/16/drupalgeddon-2-profiting-from-mass-exploitation/

Уязвимость очень серьёзная - варианта исправления 2 - либо обновить ядро Drupal до последнего. Либо второй вариант настроить mod_secure на сервере и прописать одно из двух правил:

# SPECIFIC: Block #submit #validate #process #pre_render #post_render #element_validate #after_build #value_callback #process #access_callback #lazy_builder #type #markup #value #options parameters

SecRule &ARGS_NAMES|&FILES_NAMES|&REQUEST_COOKIES_NAMES "@gt 0" "phase:2,log,chain,id:3298,t:none,block"

SecRule ARGS_NAMES|ARGS_GET|FILES_NAMES|REQUEST_COOKIES_NAMES "#(submit|validate|pre_render|post_render|element_validate|after_build|value_callback|process|access_callback|lazy_builder|type|markup|value|options)|\[#(submit|validate|pre_render|post_render|element_validate|after_build|value_callback|process|access_callback|lazy_builder|type|markup|value|options)" "t:none,t:utf8toUnicode,t:urlDecodeUni,t:removeNulls,t:cmdLine,t:removeWhitespace"

# GENERIC: Block all parameter names or get args starting with # or containing /# or space# or [#...]

SecRule &ARGS_NAMES|&FILES_NAMES|&REQUEST_COOKIES_NAMES "@gt 0" "phase:2,log,chain,id:3314,t:none,block"

SecRule ARGS_NAMES|ARGS_GET|FILES_NAMES|REQUEST_COOKIES_NAMES "^#|\/#| #|\[(?: )?#.*]" "t:none,t:utf8toUnicode,t:urlDecodeUni,t:removeNulls,t:cmdLine,t:compressWhitespace"

Эти правила закрывают и первую и вторую уязвимости на уровне веб сервера. Первое - специфичные для уязвимостей точки входа, второе вообще все возможные комбинации с #-й