漏洞信息详情

Drupal 7 driver for SQL Server and SQL Azure SQL注入漏洞

• CNNVD编号：CNNVD-201510-357
• 危害等级： 中危
  
• CVE编号： CVE-2015-7876
• 漏洞类型： SQL注入
• 发布时间： 2015-10-22
• 威胁类型： 远程
• 更新时间： 2015-10-22
• 厂        商： drupal_7_driver_for_sql_server_and_sql_azure_project
• 漏洞来源：

漏洞简介

Drupal 7 driver for SQL Server and SQL Azure是Drupal社区的一套提供了对SQL Server和SQL Azure的整合用来让Drupal数据库有多种选择的工具。

Drupal 7 driver for SQL Server and SQL Azure 7.x-1.4之前7.x-1.x版本的sqlsrv/database.inc文件中的‘escapeLike’函数存在SQL注入漏洞，该漏洞源于程序没有充分过滤特定的字符。远程攻击者可利用该漏洞执行任意SQL命令。

漏洞公告

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

https://www.drupal.org/node/2569003

https://www.drupal.org/node/2569005

参考网址

来源:www.drupal.org

链接:https://www.drupal.org/node/2569577

来源:cgit.drupalcode.org

链接:http://cgit.drupalcode.org/sqlsrv/commit/?id=2ea0da8

来源:www.drupal.org

链接:https://www.drupal.org/node/2569005

来源:www.drupal.org

链接:https://www.drupal.org/node/2569003

受影响实体

• Drupal_7_driver_for_sql_server_and_sql_azure_project Drupal_7_driver_for_sql_server_and_sql_azure:7.X-1.2:~~~Drupal~~  
• Drupal_7_driver_for_sql_server_and_sql_azure_project Drupal_7_driver_for_sql_server_and_sql_azure:7.X-1.3:~~~Drupal~~  
• Drupal_7_driver_for_sql_server_and_sql_azure_project Drupal_7_driver_for_sql_server_and_sql_azure:7.X-1.1:~~~Drupal~~  
• Drupal_7_driver_for_sql_server_and_sql_azure_project Drupal_7_driver_for_sql_server_and_sql_azure:7.X-1.0:~~~Drupal~~  

补丁

• Drupal 7 driver for SQL Server and SQL Azure SQL注入漏洞的修复措施