KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2019-6339 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Drupal core是Drupal社区所维护的一套用PHP语言开发的免费、开源的内容管理系统。
在Drupal Core版本7.x之前的7.62、8.6.x之前的8.6.6和8.5.x之前的8.5.9；在不受信任的 phar:// URI上执行文件操作时，PHP的内置phar流包装器中存在一个远程执行代码漏洞。某些Drupal代码（核心代码，贡献代码和自定义代码）可能会在未充分验证的用户输入上执行文件操作，从而容易受到此漏洞的影响。此类代码路径通常需要访问管理权限或非典型配置，从而缓解了此漏洞。
影响范围
应用：drupal drupal（影响面 Up to (excluding) 7.62）
应用：drupal drupal（影响面 Up to (excluding) 8.5.9）
应用：drupal drupal（影响面 Up to (excluding) 8.6.6）
系统：debian_8 drupal7（影响面 Up to (excluding) 7.32-1+deb8u5）
系统：debian_9 drupal7（影响面 Up to (excluding) 7.52-2+deb9u6）
解决方案
升级至安全版本。
参考信息
https://lists.debian.org/debian-lts-announce/2019/02/msg00004.html
https://www.debian.org/security/2019/dsa-4370
https://www.drupal.org/sa-core-2019-002
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。