1、漏洞背景描述
近日，Drupal官方发布安全更新，修复了Drupal远程代码执行漏洞（CVE-2020-13671）。
2、漏洞概述
Drupal是使用PHP语言编写的开源内容管理框架（CMF），由内容管理系统（CMS）和PHP开发框架（Framework）共同构成。
由于Drupal core没有正确地处理上传文件中的某些文件名，攻击者通过上传恶意文件，在某些特定的配置下可能会被当作php解析，从而导致远程代码执行。
3、漏洞风险
攻击者成功利用该漏洞，可实现远程代码执行。
4、漏洞影响
Drupal < 7.7.4
Drupal < 8.8.11
Drupal < 8.9.9
Drupal < 9.0.8
注：8.8.x之前的Drupal 8版本官方已经停止维护。Cisco IoT FND REST
5、修复建议
(1)赛尔网络安全服务团队建议相关用户尽快升级Drupal至最新版本。
(2)相关用户可对Drupal目录下已经存在的文件进行排查，尤其注意如filename.php.txt或filename.html.gif这类包含多个扩展名的文件，扩展名中是否存在下划线_。特别注意以下文件扩展名，即使后面跟着一个或多个其他扩展名，也应该被认为是危险文件，例如：phar、php、pl、py、cgi、asp、js、html、htm、phtml等。
参考链接：https://www.drupal.org/sa-core-2020-012
