Plataforma
drupal
Componente
drupal
Corrigido em
10.2.11
10.3.9
11.0.8
10.2.11
10.2.11
10.2.11
10.2.11
CVE-2024-55637 descreve uma potencial vulnerabilidade de Injeção de Objeto PHP no Drupal Core. Se explorada em conjunto com outra vulnerabilidade, pode resultar em Execução Remota de Código (RCE). A vulnerabilidade afeta versões do Drupal Core anteriores ou iguais à 9.5.9. A correção foi implementada na versão 10.2.11.
A CVE-2024-55637 afeta o núcleo do Drupal, identificando uma vulnerabilidade potencial de injeção de objetos PHP. Embora a vulnerabilidade em si tenha uma pontuação CVSS de 9.8, indicando um risco crítico, ela não é diretamente explorável em seu estado atual. A gravidade decorre da possibilidade de Execução Remota de Código (RCE) se combinada com outra vulnerabilidade. A injeção de objetos PHP permite que um atacante manipule a criação de objetos dentro do código, o que, em circunstâncias específicas, poderia levar à execução de código malicioso. É importante notar que esta vulnerabilidade é considerada potencial e requer a existência de uma segunda vulnerabilidade para ser acionada.
A exploração da CVE-2024-55637 requer um contexto muito específico. Para acionar a vulnerabilidade, um atacante precisa primeiro encontrar uma vulnerabilidade no Drupal Core ou em um módulo contribuído que permita a injeção de dados inseguros na função unserialize(). Uma vez que essa injeção seja alcançada, o atacante pode aproveitar a vulnerabilidade de injeção de objetos PHP para executar código malicioso. Atualmente, não existem exploits ativos conhecidos que aproveitem essa combinação de vulnerabilidades dentro do Drupal Core, reduzindo significativamente o risco imediato.
Organizations utilizing Drupal Core versions 9.5.9 and earlier, particularly those with custom modules or themes, are at increased risk. Shared hosting environments running Drupal are also vulnerable, as they may lack control over core updates. Any deployment relying on untrusted input being processed by Drupal's unserialization functions is potentially at risk.
disclosure
Status do Exploit
EPSS
7.61% (percentil 92%)
Vetor CVSS
A principal mitigação para a CVE-2024-55637 se concentra em atualizar para a versão 10.2.11 do Drupal Core. Esta atualização introduz melhorias no tratamento de tipos de propriedades, tornando mais difícil a exploração da vulnerabilidade de injeção de objetos. Além disso, é crucial monitorar continuamente a segurança do seu site Drupal, procurando e corrigindo quaisquer outras vulnerabilidades que possam permitir a injeção de dados inseguros na função unserialize(). Implementar boas práticas de codificação segura, como a validação e sanitização de todas as entradas do usuário, também contribui para reduzir o risco geral de segurança.
Actualice Drupal Core a la última versión disponible. Para las versiones 8.x a 10.2.x, actualice a la versión 10.2.11 o superior. Para las versiones 10.3.x, actualice a la versión 10.3.9 o superior. Para las versiones 11.0.x, actualice a la versión 11.0.8 o superior.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Sim, é altamente recomendável atualizar para a versão 10.2.11 para mitigar esta vulnerabilidade potencial.
É uma técnica que permite que um atacante manipule a criação de objetos dentro do código, potencialmente levando à execução de código malicioso.
Mantenha o Drupal Core e os módulos contribuídos atualizados, valide e sanitize todas as entradas do usuário e monitore a segurança do seu site.
Atualmente, não existem exploits ativos conhecidos que aproveitem esta vulnerabilidade dentro do Drupal Core.
Atualize para a versão 10.2.11 o mais rápido possível. Se isso não for possível, implemente medidas de segurança adicionais, como a validação estrita das entradas do usuário.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo composer.lock e descubra na hora se você está afetado.
Cenas do Vídeo
A principal mitigação para a CVE-2024-55637 se concentra em atualizar para a versão 10.2.11 do Drupal Core. Esta atualização introduz melhorias no tratamento de tipos de propriedades, tornando mais difícil a exploração da vulnerabilidade de injeção de objetos. Além disso, é crucial monitorar continuamente a segurança do seu site Drupal, procurando e corrigindo quaisquer outras vulnerabilidades que possam permitir a injeção de dados inseguros na função `unserialize()`. Implementar boas práticas de codificação segura, como a validação e sanitização de todas as entradas do usuário, também contribui para reduzir o risco geral de segurança.