(环境搭建+复现) CVE-2019-6339 Drupal 远程代码执行漏洞

【CVE编号】

CVE-2019-6339

【漏洞名称】

Drupal 远程代码执行漏洞

1【靶标分类】

Web类型类靶标

2【影响版本】

Drupal core 7.62之前的7.x版本、8.6.6之前的8.6.x版本和8.5.9之前的8.5.x版本

3【漏洞分类】

代码执行

4【漏洞等级】

高

5【漏洞简介】

Drupal core是Drupal社区所维护的一套用PHP语言开发的免费、开源的内容管理系统。 Drupal core 7.62之前的7.x版本、8.6.6之前的8.6.x版本和8.5.9之前的8.5.x版本中的内置phar stream wrapper（PHP）存在远程代码执行漏洞。远程攻击者可利用该漏洞执行任意的php代码。

0x01【靶标运行环境】

操作系统：Ubuntu1804(优麒麟)
Drupal 8.5.0

工具：vulhub，docker

【靶标搭建过程】

1、使用vulhub环境

2、进入目录
/root/vulhub/drupal/CVE-2019-6339

docker-compose up -d

3、访问127.0.0.1:8080

进行CMF的安装，选择数据库时用sqlite数据库

【靶场利用过程】

1、
Drupal 的图片默认存储位置为 /sites/default/files/pictures//，默认存储名称为其原来的名称，所以之后在利用漏洞时，可以知道上传后的图片的具体位置。

访问 http://127.0.0.1:8080/admin/config/media/file-system，在 Temporary directory 处输入之前上传的图片路径，示例为 phar://./sites/default/files/pictures/2020-03/blog-ZDI-CAN-7232-cat.jpg，保存后将触发该漏洞。如下图所示，触发成功。

2、上传POC头像
http://192.168.152.130:8080/user/1/edit

3、设置临时目录
http://192.168.152.130:8080/admin/config/media/file-system

【解决方案】

1、
https://www.drupal.org/SA-CORE-2019-002。
升级Drupal至最新版本。