El
equipo de seguridad de Drupal ha publicado una actualización de seguridad
considerada crítica para solucionar tres vulnerabilidades, que podrían permitir
la realización de ataques CSRF, la ejecución remota de código arbitrario o
evitar la autenticación.
Drupal es un CMF (Content Management
Framework) modular multipropósito y muy configurable, desarrollado bajo
licencia GNU/GPL en PHP. Permite la publicación de artículos, imágenes, y otro
tipo de archivos con servicios añadidos como foros, encuestas, votaciones,
blogs y administración de usuarios y permisos.
Detalle de la actualización
- El primer problema, con CVE-2017-6377, considerado
crítico reside en un fallo en el módulo Editor al comprobar de forma
incorrecta el acceso a archivos privados. Cuando se añade un archivo
privado a través de un editor de texto configurado (como CKEditor), el
editor no verifica adecuadamente el acceso del archivo, lo que puede
permitir un salto de la autenticación.
- Por otra parte, con CVE-2017-6379 y considerado
moderadamente crítico, algunas rutas administrativas no incluyen
protección contra ataques CSRF ("Cross Site Request Forgery").
- Por último, de gravedad moderadamente crítica y
CVE-2017-6381, una librería desarrollada por terceros que incluye
dependencias de desarrollo de Drupal 8 es vulnerable a la ejecución remota
de código. Esto está mitigado con la protección .htaccess por defecto
contra ejecución PHP, y porque las dependencias de desarrollo de Composer
normalmente no están instaladas. Pueden ser vulnerables instalaciones de
Drupal 8 anteriores a 8.2.2.
Recomendación
- Para asegurar que no se es vulnerable se puede
eliminar el directorio /vendor/phpunit de la raíz de los desarrollos en
producción.
- Todos los problemas afectan a Drupal 8. Se
recomienda la actualización a Drupal 8.2.7. https://ftp.drupal.org/files/projects/drupal-8.2.7.zip
- Además, esta misma semana Drupal también ha
anunciado avances para facilitar a los administradores la actualización
del CMS, incluso entre versiones mayores.
Más información:
·
Drupal
Core - Multiple Vulnerabilities - SA-CORE-2017-001 https://www.drupal.org/SA-2017-001
·
drupal
8.2.7 https://www.drupal.org/project/drupal/releases/8.2.7
·
Making
Drupal upgrades easy forever https://www.drupal.org/blog/making-drupal-upgrades-easy-forever
Fuente: Hispasec
