一、概要

近日，华为云关注到Drupal官方通报了一个Drupal文件上传导致远程执行恶意代码漏洞（CVE-2020-13671）。由于Drupal core无法正确过滤某些上传文件的文件名，可能会导致文件被解析为错误的扩展名，或被当作错误的MIME类型，在一些配置下甚至直接会被当作PHP脚本执行。

华为云提醒使用Drupal的用户尽快安排自检并做好安全加固。

参考链接：

https://www.drupal.org/sa-core-2020-012

二、威胁级别

威胁级别：【严重】

（说明：威胁级别共四级：一般、重要、严重、紧急）

三、漏洞影响范围

影响版本：

Drupal < 9.0.8

Drupal < 8.9.9

Drupal < 8.8.11

Drupal < 7.74

安全版本：

Drupal 9.0.8

Drupal 8.9.9

Drupal 8.8.11

Drupal 7.74

四、漏洞处置

1．目前官方已在最新版本中修复了该漏洞，请受影响的用户及时升级至安全版本。

https://www.drupal.org/project/drupal/releases

2．对Drupal目录下上传的文件进行排查，特别是检查具有多个扩展名的文件，如 filename.php.txt或filename.html.gif。

华为云WAF具备对该漏洞防御能力。华为云WAF用户将“Web基础防护”状态设置为“拦截”模式，并在“高级设置”中开启“webshell检测”，具体方法请参见配置Web基础防护规则（link：https://support.huaweicloud.com/usermanual-waf/waf_01_0008.html）。

注：修复漏洞前请将资料备份，并进行充分测试。