Comments 11
Все самое «интересное» всегда случается в пятницу вечером.
пятница 13е
ну как тут не повеселиться (((
ну как тут не повеселиться (((
Боже, да кому нафиг сдался этот Друпал. Может в 2001 году еще был смысл его использовать, но в 2018 это просто смешно. Короче сами дураки. В IT развитие и обновление IT инфраструктуры вкладываться надо иначе рано или поздно аукнется.
Ну… на самом деле он конечно же не wordpress, но таки тоже достаточно сильно популярен, чтобы злоумышленники обратили на него внимание. Гораздо больше чем кажется.
Drupal при всех его недостатках не самая популярная но одна из самых или даже самая мощная cms не только на php но и вообще. На ней написан ряд очень посещаемых сайтов поэтому вред может быть достаточно ощутимым
В релизах 7.58 и 8.5.1 же уязвимость пофиксили. Релизы еще от конца марта.
www.drupal.org/project/drupal/releases/7.58
www.drupal.org/project/drupal/releases/8.5.1
Вы бы еще через пару месяцев написали…
www.drupal.org/project/drupal/releases/7.58
www.drupal.org/project/drupal/releases/8.5.1
Вы бы еще через пару месяцев написали…
PoC появился только в конце этой недели. Появись он через пару месяцев, написали бы тогда. Согласно статистике больше половины сайтов так и не обновились.
Так и цель поста тогда должна быть с призывом обновиться, ссылками на релизы, а не предложением закастомить htaccess. То, что не обновились, это печально, я всех призываю сразу с выходом релизов обновляться. Но все равно не понимаю зачем популяризировать PoC (да еще со ссылкой), среди школохакеров. Хотя, наверное не все следуют DrupalWay и не трогают ядро.
Сегодня еще и на /file/ajax/name/%23value/form-ZwGc7yP_S7ice_nAo_Z5Z6mQh0Ou9_C27TXWqYzto-0 начали ломиться.
Для тех у кого нет под рукой разработчиков, сделали небольшую тулзу для автофикса дыры
После таких вот фокусов сделал для себя вывод что если делать коммерческий проект, то точно не на друпале)) В многострадальном Битриксе такого не найти. Простая ситуация достались зоопарком 4 друпал сайта не обновленных с 2016 года прошлыми разработчиками и 3 на чистом php + mysql, когда слегли 7 сайтов то как-то не по себе стало). Сначала думал что прошляпил прошлый разработчик уязвимость в самописках, интервал заброса был примерно раз в 2-3 часа, то есть базу вели о том где были успешные внедрения, потом выяснилось что заброс шел через друпал. А после просмотра логов сервера и прямого запроса «Уязвимости друпал» гугл уже вывел на статью PoC. Для меня это был шок особенно когда с друпалом до этого дела не имел.
Sign up to leave a comment.
Drupalgeddon2: началась эксплуатация SA-CORE-2018-002