Platform
drupal
Component
drupal
Opgelost in
10.2.11
10.3.9
11.0.8
10.2.11
10.2.11
10.2.11
10.2.11
CVE-2024-55636 is een potentieel PHP Object Injection kwetsbaarheid in Drupal core. Indien gecombineerd met een andere exploit, kan dit leiden tot willekeurige bestandsverwijdering. Deze kwetsbaarheid is niet direct exploiteerbaar en vereist een afzonderlijke kwetsbaarheid die het mogelijk maakt om onveilige input door te geven aan unserialize(). De kwetsbaarheid treft Drupal Core versies ≤9.5.9. Het probleem is verholpen in versie 10.2.11.
CVE-2024-55636 beïnvloedt de Drupal-kern en introduceert een potentiële PHP Object Injection kwetsbaarheid. In combinatie met een ander exploit kan dit leiden tot willekeurige bestandverwijdering. Het is belangrijk op te merken dat deze kwetsbaarheid in de huidige staat niet direct uitbuitbaar is. De CVSS-score is beoordeeld op 9.8, wat een hoog risico aangeeft, maar de vereiste van een voorwaarde beperkt de directe impact aanzienlijk.
De succesvolle exploitatie van CVE-2024-55636 is afhankelijk van de aanwezigheid van een andere kwetsbaarheid die de manipulatie van de invoer naar de unserialize() functie mogelijk maakt. Zonder deze voorwaarde kan de PHP-objectinjectie niet worden gebruikt voor bestandverwijdering. De Drupal-community houdt de situatie actief in de gaten en adviseert om de kern en modules up-to-date te houden om potentiële risico's te minimaliseren.
Organizations running Drupal Core versions 9.5.9 and earlier, particularly those with complex module configurations or custom code that might introduce vulnerabilities allowing input to unserialize(), are at risk. Shared hosting environments utilizing Drupal Core are also potentially vulnerable due to the shared nature of the infrastructure.
disclosure
Exploit Status
EPSS
8.79% (92% percentiel)
CVSS-vector
De primaire mitigatie is het feit dat om deze kwetsbaarheid te exploiteren, een aparte kwetsbaarheid aanwezig moet zijn die een aanvaller in staat stelt om onveilige invoer naar de unserialize() functie te sturen. Momenteel zijn er geen bekende exploits in de Drupal-kern die aan deze eis voldoen. Drupal heeft preventieve maatregelen geïmplementeerd, waaronder het toevoegen van types aan eigenschappen in sommige van zijn componenten, om de beveiliging te versterken en het aanvalsoppervlak te verminderen.
Actualice Drupal Core a la última versión disponible. Para las versiones 8.x a 10.2.x, actualice a la versión 10.2.11 o superior. Para las versiones 10.3.x, actualice a la versión 10.3.9 o superior. Para las versiones 11.0.x, actualice a la versión 11.0.8 o superior.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Het geeft een hoog risico aan, maar de noodzaak van een eerdere kwetsbaarheid beperkt de exploitatie.
Ja, het updaten naar versie 10.2.11 of hoger wordt ten zeerste aanbevolen om de mitigaties toe te passen.
Momenteel zijn er geen bekende exploits in de Drupal-kern die directe exploitatie mogelijk maken.
Houd Drupal en alle modules up-to-date en beoordeel de beveiliging van alle third-party modules.
Het is een techniek waarmee een aanvaller kwaadaardige PHP-objecten in een applicatie kan injecteren.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je composer.lock-bestand en we vertellen je direct of je getroffen bent.