SYS
SYSADMIN SKILLS
An ninh mạng⏱ 2 phút đọc

Drupal vá lỗ hổng nghiêm trọng trong Field UI mở đường cho tấn công RCE không cần xác thực

Ngày đăng:
•
Nguồn:The Hacker News

Nhóm bảo mật Drupal vừa phát hành bản vá khẩn cấp cho Drupal Core nhằm giải quyết lỗ hổng bảo mật nghiêm trọng trong thành phần Field UI, có thể dẫn đến chuỗi khai thác thực thi mã từ xa không cần đăng nhập.

Ảnh minh họa: Drupal vá lỗ hổng nghiêm trọng trong Field UI mở đường cho tấn công RCE không cần xác thực
📷The Hacker News · Lưu trữ local từ nguồn tin công khai chính thức

Chuyện gì vừa xảy ra

Đội ngũ an ninh bảo mật của dự án Drupal (Drupal Security Team) đã công bố bản tin tư vấn bảo mật khẩn cấp (Security Advisory) xếp loại Critical. Lỗ hổng bắt nguồn từ cách Drupal Core xử lý đầu vào và cấu hình thực thể trong hệ thống Field UI.

Khi website Drupal cài đặt thêm một số module mở rộng (contributed modules) phổ biến liên quan đến form xử lý người dùng, kẻ tấn công bên ngoài có thể gửi các payload độc hại được định dạng đặc biệt để lừa máy chủ thực thi chuỗi lệnh PHP tùy ý mà không cần bất kỳ thông tin đăng nhập nào (Unauthenticated RCE).

Ai cần chú ý và phạm vi ảnh hưởng

  • Các quản trị viên web CMS Drupal tại các cơ quan chính phủ, trường đại học, tổ chức phi chính phủ và doanh nghiệp lớn.
  • SysAdmin quản lý các cụm LAMP/LEMP stack đang lưu trữ các cổng thông tin điện tử dựa trên nền tảng Drupal 10 và 11.
  • Kỹ sư vận hành WAF (Web Application Firewall): Cần cập nhật rules chặn các pattern tấn công nhắm vào endpoint xử lý form của Drupal.

Tác động vận hành

  • Website bị chiếm quyền hoàn toàn: Kẻ tấn công có thể chèn webshell, deface giao diện, đánh cắp cơ sở dữ liệu người dùng hoặc biến máy chủ thành node trong mạng botnet.
  • Lịch sử khai thác Drupal: Các lỗ hổng Drupal RCE trong quá khứ (như Drupalgeddon) thường bị các nhóm tội phạm mạng tự động hóa việc quét và tấn công hàng loạt chỉ trong vòng 24 đến 48 giờ sau khi mã khai thác PoC xuất hiện.

Điểm sysadmin cần theo dõi và hành động ngay

  1. Kiểm tra phiên bản Drupal: Chạy lệnh drush status trên máy chủ web để xác định phiên bản lõi đang hoạt động.
  2. Nâng cấp Drupal Core ngay lập tức: Áp dụng bản vá thông qua Composer:

``bash composer update drupal/core-recommended --with-dependencies drush updb && drush cr ``

  1. Theo dõi log web server: Kiểm tra access log của NGINX/Apache để phát hiện các request POST bất thường nhắm vào các đường dẫn cấu hình trường dữ liệu và form.

Kết luận

Thời gian phản ứng đối với các lỗ hổng Drupal Core nghiêm trọng luôn tính bằng giờ. Quản trị viên cần nhanh chóng áp dụng bản cập nhật bảo mật trước khi các chiến dịch tấn công tự động quét qua hệ thống.