Drupal បានចេញសេចក្តីណែនាំសន្តិសុខអំពីការធ្វើបច្ចុប្បន្នភាពដ៏សំខាន់ចំពោះ Drupal 7.x, 8.8.x, 8.9.x,និង 9.0.x. នាថ្ងៃទី១៧ ខែកញ្ញា ឆ្នាំ២០២០ អភិបាលគ្រប់គ្រងវេបសាយទាំងអស់ត្រូវធ្វើការអាប់ដេតទៅកាន់ជំនាន់ចុងក្រោយ បង្អស់នៅពេលខាងមុខនេះ។
១. ព័ត៌មានទូទៅ
Drupal គឺជាកម្មវិធីមានទម្រង់ជា Content Management System (CMS) ដែលត្រូវបានប្រើប្រាស់ជាទូទៅដោយអង្គភាព ជាច្រើន នៅកម្ពុជា ដ៏ដូចជានៅជំុវិញពិភពលោក ក្នុងការបង្កើតវេបសាយ។ មានវេបសាយប្រមាណជា ១លាន (ជំុវិញពិភពលោក) ដែលកំពុងប្រើប្រាស់ Drupal ដោយរួមមាននូវវេបសាយល្បីៗមានដូចជា NBC, Fox, The Economist, Twitter និង Pinterest ជាដើម។ កាលពីថ្ងៃទី១៧ ខែកញ្ញា ឆ្នាំ២០២០ ក្រុមហ៊ុន Drupal បានចេញសេចក្តីប្រកាសអំពីចំនុចខ្សោយធ្ងន់ធ្ងរមានក្នុង Drupal Core ដូចខាងក្រោម៖
- SA-CORE-2020-007: ចំណុចខ្សោយមួយនេះកើតមានឡើងនៅពេលដែល Drupal AJAX API មិនបានធ្វើការបិទមុខងាររបស់ JSONP ទៅតាមលំនាំដើមដែលអាចបណ្តាលអោយមានការរងគ្រោះ នៅពេលដែលអ្នកវាយប្រហារដាក់ cross-site scripting នៅលើវេបសាយបាន
- SA-CORE-2020-008: ចំណុចខ្សោយមួយនេះអាចអនុញ្ញាតឱ្យអ្នកបង្កើត Workspaces ជាច្រើននៅលើ វេបសាយរបស់អ្នកដែលមានលក្ខណៈជា draft content ដែលអាចអោយយើងចូលទៅកែសម្រួលមុនពេល ផ្សព្វផ្សាយបាន។ ចំណុចខ្សោយមួយនេះកើតមានឡើងនៅពេលដែល Workspaces មិនបានត្រួតពិនិត្យសិទ្ធិ មុននិងចូលដំណើរការ នៅត្រង់ចំណុចកន្លែងប្តូរ Workspaces ដែលនាំអោយមានភាពងាយរងគ្រោះ។ អ្នកវាយប្រហារប្រហែលជាអាចមើលឃើញមាតិកាមុនពេលម្ចាស់វេបសាយចង់អោយមនុស្សមើលមាតិកា
- SA-CORE-2020-009: ចំណុចខ្សោយមួយនេះកើតមានឡើងនៅក្នុង Drupal 8 និង 9 ដែលមានប្រភេទ ចំណុចខ្សោយជា reflected cross-site scripting (XSS) អ្នកវាប្រហារអាចប្រើវិធីសាស្រ្ត តាមលំនាំបែបបទ HTML ពីព្រោះតែតាមលំនាំនេះមានចំណុចដែលងាយរងគ្រោះ
- SA-CORE-2020-010: ចំណុចខ្សោយមួយនេះកើតមានឡើងនៅពេលដែលមុខងារ drupal core’s built-in CKEditor មាននៅចំណុចខ្សោយ XSS
- SA-CORE-2020-011: ចំណុចខ្សោយមួយនេះកើតមានឡើងនៅពេល File module អនុញ្ញាតឱ្យអ្នកវាយ ប្រហារអាចចូលដំណើរការ file metadata នៃ permanent private file ដែលនាំអោយអ្នកវាយប្រហារឬ ក៏ហេគឃ័រអាចមានលទ្ធភាពចូលដោយធ្វើការទាយលេខសម្គាល់ឯកសារ
២. ផលិតផលដែលប៉ៈពាល់
- ចំនុចខ្សោយនេះប៉ៈពាល់ទៅដល់ Drupal core កំណែ 7.x
- ចំនុចខ្សោយនេះក៏ប៉ះពាល់ទៅដល់ Drupal core កំណែ 8.8.x
- ចំនុចខ្សោយនេះក៏ប៉ះពាល់ទៅដល់ Drupal core កំណែ 8.9.x និង 9.0.x
៣. ផលវិបាក
ការវាយប្រហារជោគជ័យអាចអនុញ្ញាតឱ្យអ្នកវាយប្រហារបង្កើត ឬកែប្រែទិន្នន័យហើយធ្ងន់ធ្ងរជាងនេះ ដើរតួជាអភិបាលគ្រប់គ្រងប្រព័ន្ធ។
៤. ការណែនាំ
Drupal បានបញ្ចេញនូវការអាប់ដេតជំនាន់ Drupal core 7.x, 8.8.x, 8.9.x និង 9.0.x ។ សូមធ្វើការអាប់ដេតដូចខាងក្រោមៈ
- សម្រាប់អ្នកប្រើប្រាស់ Drupal កំណែ 7.x សូមធ្វើការអាប់ដេតទៅកាន់កំណែ Drupal 7.73.
- សម្រាប់អ្នកប្រើប្រាស់ Drupal កំណែ 8.8.x សូមធ្វើការអាប់ដេតទៅកាន់កំណែ Drupal 8.8.10.
- សម្រាប់អ្នកប្រើប្រាស់ Drupal កំណែ 8.9.x សូមធ្វើការអាប់ដេតទៅកាន់កំណែ Drupal 8.9.6.
- សម្រាប់អ្នកប្រើប្រាស់ Drupal កំណែ 9.0.x សូមធ្វើការអាប់ដេតទៅកាន់កំណែ Drupal 9.0.6.
បើសិនជាអ្នកប្រើប្រាស់ជំនាន់ 8.8.x ឬមុននេះ សូមធ្វើការអាប់ដេតមកជំនាន់ចុងក្រោយថ្មីបំផុតដោយសារតែ ជំនាន់នេះ មិនមានការគាំទ្រទៀតឡើយ។
៥. វេបសាយពាក់ព័ន្ធ
- https://www.drupal.org/security
- https://us-cert.cisa.gov/ncas/current-activity/2020/09/17/drupal-releases-security-updates
