Hệ thống quản trị nội dung mã nguồn mở Drupal (Drupal CMS) là một trong các hệ quản trị nội dung được sử dụng khá phổ biến để xây dựng các Trang/Cổng thông tin điện tử, ứng dụng web (gọi chung là website) cho các cơ quan, đơn vị. Với ưu điểm là đơn giản, linh hoạt hỗ trợ nhiều loại cơ sở dữ liệu như MySQL, PostgreSQL, SQLite, MS SQL Server, Oracle và có thể mở rộng để hỗ trợ các cơ sở dữ liệu NoSQL. Tại Việt Nam, Drupal thường được sử dụng phổ biến đối với các website có quy mô vừa và nhỏ, ít được sử dụng cho các hệ thống nghiệp vụ quan trọng của các tổ chức Ngân hàng, tài chính.

Qua công tác hỗ trợ một số đơn vị khắc phục sự cố do Drupal vừa qua, VNCERT nhận thấy, thực tế website do đối tác bên ngoài xây dựng không bàn giao đầy đủ nên các đơn vị vận hành website, thậm chí cả cán bộ kỹ thuật chủ chốt không nắm rõ Trang/Cổng thông tin điện tử được phát triển trên nền tảng Drupal. Do đó dẫn đến tình trạng chủ quan, bỏ qua lỗ hổng bảo mật đã được cảnh báo, có thể bị tấn công gây mất an toàn thông tin. Chính vì vậy, VNCERT đề nghị các cơ quan, tổ chức quan tâm kiểm tra để phát hiện triệt để các website có sử dụng Drupal.

Tính từ năm 2017 tới nay, Drupal đã công bố 7 lỗ hổng bảo mật. Riêng từ cuối tháng 3/2018, Drupal đã phát hiện tồn tại 2 lỗ hổng bảo mật có mức độ nghiêm trọng cần được theo dõi, xử lý khẩn cấp. Cụ thể:

Lỗ hổng thứ nhất là SA-CORE-2018-002 (hoặc CVE-2018-7600) cho phép thực thi các lệnh điều khiển từ xa trái phép được công bố ngày 28/3/2018. Lỗ hổng này cho phép tin tặc tấn công từ xa, tải tệp tin trái phép, thay đổi giao diện… tồn tại trên nhiều phiên bản khác nhau của Drupal. Trong thực tế đã ghi nhận, tin tặc đã khai thác lỗ hổng này để phục vụ đào tiền ảo.

Lỗ hổng thứ hai là SA-CORE-2018-003 - liên quan đến các cuộc tấn công kịch bản liên trang (Cross Site Scripting), được công bố ngày 18/4/2018. Lỗ hổng này tồn tại trong ứng dụng CKEditor - là ứng dụng xây dựng trên nền tảng Java Script được tích hợp trong phần mềm Drupal. Tin tặc có thể thực thi tấn công XSS thông qua CKEditor khi sử dụng Plugin Image2 (Plugin này cũng được sử dụng trong phiên bản Drupal 8).

Theo đó, VNCERT đưa ra các giải pháp xử lý, khắc phục đối với từng lỗ hổng.

Với lỗ hổng SA-CORE-2018-002, VNCERT cho biết, Drupal đã cung cấp khá đầy đủ các bản vá và xử lý lỗi cho lỗ hổng này, quản trị hệ thống cần xem xét xử lý theo hướng dẫn được tổng hợp từ Drupal. Nếu sử dụng Drupal 7.x cần nâng cấp lên phiên bản 7.5.8; sử dụng phiên bản Drupal 8.3, 8.4, 8.5.x thì cập nhật lên phiên bản 8.5.1. Trong trường hợp không thể thực hiện thì có thể sử dụng 2 biện pháp tạm thời gồm: nếu đang sử dụng Drupal 8.3.x thì nâng cấp lên phiên bản 8.3.9 và cài đặt bản vá; nếu đang sử dụng Drupal 8.4.x thì nâng cấp lên phiên bản 8.4.6 và cài đặt bản vá. Tuy nhiên, các biện pháp tạm thời này vẫn còn tiềm ẩn nhiều rủi ro mất an toàn thông tin khác.

Ngoài giải pháp cập nhật Drupal, VNCERT cũng khuyến nghị các cơ quan, đơn vị các giải pháp hỗ trợ khác để xử lý, khắc phục như: thiết lập thiết bị IPS, tường lửa bảo vệ 7 lớp hoặc tường lửa bảo vệ ứng dụng web (web application firewall) và cập nhật đầy đủ thông tin để có thể ngăn chặn được các tấn công lỗ hổng. Với các thiết bị chưa được nhà sản xuất cập nhật khả năng ngăn chặn tấn công SA-CORE-2018-002, các cơ quan, đơn vị tham khảo đoạn mã phát hiện tấn công được viết cho phần mềm phát hiện xâm nhập nguồn mở Snort.

Đối với lỗ hổng SA-CORE-2018-003, nếu sử dụng Drupal 8, cần nâng cấp lên bản 8.5.2 hoặc 8.4.7; sử dụng Drupal 7.x, chỉ bị ảnh hưởng bởi lỗ hổng trên nếu sử dụng CKEditor module 7.x-1.18 hoặc CKEditor từ CDN; nếu cài đặt CKEditor với Drupal 7 bằng các phương thức riêng (như sử dụng WYSIWYG module, CKEditor locally) và sử dụng các phiên bản CKEditor từ 4.5.11 tới 4.9.1 thì cần cập nhật thư viện third-party JavaScript library tại địa chỉ http://ckeditor.com/ckeditor-4/download/.

Do Drupal là phần mềm mã nguồn mở, nên việc hỗ trợ từ cộng đồng và nhà sản xuất còn hạn chế. Trong quá trình cập nhật dễ xảy ra những sai sót. Vì vậy, các cơ quan, đơn vị cần thử nghiệm và nghiên cứu kỹ trước khi thực hiện các biện pháp cập nhật cho những hệ thống lớn, yêu cầu tính sẵn sàng cao để hạn chế rủi ro.