فريق أمن Drupal يستعد لإصدار تحديث حرج مساء اليوم
· غرفة أخبار قلب مصر
برام دريسن ضمن منسقي الاستجابة.. والإصلاح المرتقب يشمل الفروع المدعومة دون إعلان تفاصيل الاستغلال مقدمًا.
يستعد فريق أمن «Drupal»، اليوم الأربعاء 14 أكتوبر، لإصدار تحديث أمان للنواة خلال الفترة من الرابعة عصرًا إلى التاسعة مساءً بالتوقيت العالمي. ويشارك برام دريسن وداميان ماكينا وغريغ كناديسون وأعضاء آخرون في تنسيق الاستجابة، بعدما حدد الفريق في تنبيه نشره يوم 12 أكتوبر مستوى خطورة الثغرة عند 19 نقطة من أصل 25.
ويوافق موعد الإصدار المعلن الفترة من السابعة مساءً بتوقيت القاهرة والرياض إلى منتصف الليل. ودعا الفريق مسؤولي المواقع إلى تخصيص وقت لتنفيذ تحديث النواة، محذرًا من احتمال ظهور أدوات استغلال خلال ساعات أو أيام بعد الإعلان. ولم يكشف التنبيه المسبق تفاصيل إضافية عن الثغرة أو طريقة استغلالها، وفق سياسة الإفصاح المنسق.
ويشمل التنبيه فروع «Drupal 11.4.x» و«Drupal 11.3.x» و«Drupal 10.6.x»، إلى جانب النسخة التجريبية «Drupal 12.0.0-beta1». ويعتزم المشروع توفير إصدارات تجريبية جديدة بعد تحديث الفروع المدعومة. وأوضح الفريق أن الإصدارات الأقدم التي انتهى دعمها تحتاج إلى الانتقال إلى إصدار مدعوم لتجنب هذه الثغرة وثغرات أخرى معلنة.
ويوضح دليل الأمان الرسمي أن المشروع يقسم الخطورة على مقياس من صفر إلى 25، وتندرج الدرجات من 15 إلى 19 ضمن الفئة الحرجة، بينما تدخل الدرجات من 20 إلى 25 الفئة الأعلى خطورة. ويعتمد التقييم على ستة معايير، منها تعقيد الوصول، والصلاحيات المطلوبة، وتأثير الثغرة في سرية البيانات وسلامتها، وتوافر وسائل الاستغلال وانتشار الإعدادات المتأثرة.
وتشير الرموز المنشورة مع التنبيه إلى أن الاستغلال يتطلب مسارًا معقدًا، لكنه لا يشترط تسجيل دخول مسبقًا. كما يشير تصنيف وسيلة الاستغلال إلى وضع نظري، وهو تعريف يستخدمه الدليل عندما لا تتوافر شفرة استغلال عامة أو وثائق عامة لتطويرها. ولا يحول ذلك دون أهمية التحديث، لأن التقييم يتناول أيضًا الأثر المحتمل في البيانات واتساع نطاق التأثر.
وتوفر خدمة «Drupal Steward» طبقة حماية عبر جدار لتطبيقات الويب يرشح الطلبات قبل وصولها إلى الموقع. وفي التنبيه الحالي، أكد الفريق أن الخدمة تحمي المشتركين من بعض مسارات الهجوم المعروفة، لكنه أوضح أن هذه الحماية لا تغطي جميع احتمالات الاستغلال؛ لذلك يظل تثبيت الإصلاح مطلوبًا عند توافره.
وسيعلن المشروع التحديث عبر صفحة التنبيهات الأمنية وقنوات المجتمع والنشرة البريدية. ويحتاج مسؤولو المواقع إلى متابعة تلك القنوات لمعرفة الإصدار المصحح والتعليمات النهائية، ثم تطبيقه وفق إجراءاتهم الفنية. وحتى موعد الإعلان، يظل الخبر متعلقًا بنافذة إصدار مقررة اليوم، ولا يثبت أن المشروع نشر الإصلاح بالفعل أو أن جميع المواقع المتأثرة تعرضت لاختراق. وبعد صدور الإصلاح، ينبغي للمسؤولين التحقق من نسخة الموقع الفعلية ومكونات الاستضافة والإضافات المتوافقة، ثم إجراء نسخة احتياطية واتباع خطوات التحديث والاختبار المناسبة لبيئة التشغيل. وهذه خطوات عامة لإدارة التحديثات وليست بديلًا عن تعليمات Drupal الخاصة بالثغرة عند نشرها.
About The Author
اترك تعليقاً