El equipo de seguridad de Drupal ha publicado actualizaciones para solucionar varias vulnerabilidades, algunas de ellas críticas, que afectan a distintos módulos del core de Drupal., catalogada de Importancia: 5 Crítica
Recursos afectados
- Versiones Drupal core 6.x anteriores a 6.38
- Versiones Drupal core 7.x anteriores a 7.43
- Versiones Drupal core 8.0.x anteriores a 8.0.4
Detalle de la actualización de las
vulnerabilidades corregidas
- Módulo File. Drupal 7 y 8. Acceso no autorizado a ficheros y denegación de servicio. (Grave).- Un atacante podría manipular el enlace a ficheros en el formulario de subida y bloquear el proceso.
- Servidor XML y RPC. Drupal 6 y 7. Amplificación de ataques de fuerza bruta vía XML-RPC. (Grave).- El sistema XML-RPC permite un elevado número de peticiones que puede utilizarse para ataques de fuerza bruta
- Redirección abierta por manipulación de ruta. Sistema base. Drupal 6, 7 y 8. (Grave).- A través de manipulación de la ruta puede redirigirse la navegación a una URL externa.
- Fallo en restricciones de acceso en la API Form. API Form. Drupal 6 (Crítica).-La restricción de acceso a ciertos elementos restringidos puede evadirse, como por ejemplo el acceso vía JavaScript a botones de formulario bloqueados.
- Inyección de cabeceras HTTP. Sistema base. Drupal 6 (Grave).- Una vulnerabilidad en la función drupal_set_header() posibilita ataques de inyección de cabeceras HTTP.
- Redirección abierta a través del parámetro 'destination'. Sistema base. Drupal 6, 7 y 8. (Grave).- La función drupal_goto() descodifica incorrectamente el contenido del parámetro $_REQUEST['destination'] previo a su uso, lo que permite realizar la redirección a una URL arbitraria.
- Vulnerabilidad de descarga de ficheros (reflected file download vulnerability). Módulo System. Drupal 6 y 7. (Grave).- Una vulnerabilidad en el core de Drupal permitiría a un atacante lograr que un usuario descargue y ejecute un fichero con un contenido arbitrario en JSON.
- Vulenerabilidad en función para guardar cuentas. Módulo User. Drupal 6 y 7. (Moderada).- Un atacante podría asignarse todos los roles debido un comportamiento distinto al esperado de la función user_save() cuando es referenciada por un código específico diferente al utilizado por el core de Drupal.
- Fuga de información. Módulo User. Drupal 7 y 8. (Moderada).- Direcciones de correo electrónico pueden ser usadas en lugar de nombre de usuario en formularios de acceso lo que permite averiguar la asociación nombre de usuario con dirección de correo e inferir identidades.
- Truncamiento y manipulación de datos de sesión. Sistema Base. Drupal 6. (Moderada).- Bajo ciertas versiones de PHP, los datos de sesión de usuario pueden ser manipulados y posiblemente provocar ejecución de código de forma remota.
Recomendación
- Si utiliza Drupal 6.x, actualice a Drupal core 6.38
- Si utiliza Drupal 7.x, actualice a Drupal core 7.43
- Si utiliza Drupal 8.0.x, actualice a Drupal core 8.0.4
- Para ampliar información y descargar actualizaciones dirigirse al siguiente enlace: https://www.drupal.org/project/drupal
Más información
- Drupal Core - Critical - Multiple Vulnerabilities - SA-CORE-2016-001 (se abre en nueva ventana) https://www.drupal.org/SA-CORE-2016-001
Fuente: INCIBE
