CVE-2018-7602: Execução remota de código no Drupal Core
A CVE-2018-7602 é uma falha crítica de execução remota de código em vários subsistemas do núcleo do Drupal, classificada como injeção de código (CWE-94). O registro indica relação com a SA-CORE-2018-002 e a vulnerabilidade consta no catálogo KEV da CISA como explorada. Versões corrigidas e medidas defensivas são descritas abaixo.
Visão geral
A CVE-2018-7602 é uma vulnerabilidade de execução remota de código (CWE-94, injeção de código) que afeta vários subsistemas do núcleo do Drupal nas linhas 7.x e 8.x. O registro a relaciona ao aviso de segurança SA-CORE-2018-002 e aponta para orientações de correção na SA-CORE-2018-004.
Impacto
Segundo o registro, um atacante poderia usar múltiplos vetores de ataque contra um site Drupal, o que poderia levar ao comprometimento do site. A pontuação base CVSS 3.1 do NVD é 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando alcance pela rede, sem necessidade de privilégios ou interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetadas
- Drupal Core: versões abaixo de 7.59, abaixo de 8.5.3 e abaixo de 8.4.8, conforme listado no registro.
- Drupal Drupal: de 7.0 até 7.59, de 8.4.0 até 8.4.8 e de 8.5.0 até 8.5.3, conforme listado no registro.
- Debian Linux: o registro lista as versões 7.0, 8.0 e 9.0 do Debian Debian Linux como afetadas, com referência à DSA-4180.
Status de exploração
O catálogo de Vulnerabilidades Exploradas Conhecidas da CISA lista esta CVE com data de inclusão em 2022-04-13, prazo em 2022-05-04 e uso em ransomware registrado como Known. O registro também afirma que a falha está sendo explorada na natureza. Há valor SSVC de exploração ativa e probabilidade EPSS de 0.99172, conforme registrado. Entradas de exploits públicos aparecem entre as referências; seu conteúdo não é reproduzido aqui.
Correção e mitigação
- Atualize o Drupal core para uma versão corrigida da linha afetada: 7.59 ou superior na linha 7.x, 8.4.8 ou superior na linha 8.4 e 8.5.3 ou superior na linha 8.5, seguindo o aviso do Drupal.
- Aplique as atualizações de distribuição Debian referenciadas na DSA-4180 onde pacotes Debian estiverem em uso.
- Como a exploração é confirmada pelas fontes, priorize essas atualizações e verifique sinais de comprometimento antes e depois da correção.
- Siga a ação exigida pelo KEV: aplicar atualizações conforme as instruções do fornecedor.
Orientações de detecção
- Revise logs do servidor web e da aplicação em busca de requisições incomuns a endpoints do Drupal no período anterior à correção.
- Verifique arquivos inesperados, novas contas administrativas ou conteúdo alterado, que podem indicar comprometimento.
- Monitore a versão do Drupal em uso no parque para confirmar que nenhuma instância permaneça abaixo das versões corrigidas.
Limitações das informações disponíveis
O registro não traz detalhes técnicos completos dos subsistemas vulneráveis. Ele relaciona a falha à SA-CORE-2018-002, mas a referência de correção é a SA-CORE-2018-004, e as fontes consultadas não explicam essa diferença. O registro também não informa quais versões de pacotes Debian contêm correções. Algumas referências são marcadas como links quebrados no registro, e a data do EPSS no registro deve ser conferida na fonte.
Perguntas frequentes
A CVE-2018-7602 está sendo explorada?
Sim. O catálogo KEV da CISA a lista, com uso em ransomware registrado como Known, e o registro afirma que ela está sendo explorada na natureza.
Quais versões do Drupal estão corrigidas?
Segundo o registro, as versões corrigidas são 7.59 ou superior na linha 7.x, 8.4.8 ou superior na linha 8.4 e 8.5.3 ou superior na linha 8.5.
O que os administradores devem fazer primeiro?
Atualizar o Drupal core para uma versão corrigida de cada linha afetada, aplicar as atualizações Debian quando aplicável e verificar sinais de comprometimento.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.