El conocido gestor de contenido
open-source Drupal lanza una nueva actualización donde soluciona fallos de
terceros que son necesarios para su funcionamiento.
Esta semana se han descubierto una
serie de vulnerabilidades que afectan a este CMS, tres de ellas pertenecen al
framework php Symfony, y una cuarta que afecta a la conocida librería de
JavaScript JQuery.
Symfony
Un error de Cross-site scripting (XSS)
en los mensajes de validación al utilizar los formularios del motor de
plantillas PHP. Esto ocurre si el mensaje contiene información del input del
usuario. (CVE-2019-10909).
A partir de un input de usuario sin
filtrar se podría modificar la ID de servicio realizando así una ejecución arbitraria
de código que posiblemente pueda convertirse en una ejecución de código remoto
(CVE-2019-10910).
En el caso de que un usuario indique
la opción “Remember me” se almacena una cookie generada a partir de información
del nombre de usuario, la fecha de expiración, el hash de la contraseña o
hashes. Un atacante podría modificar la cookie y autenticarse como un usuario
diferente. Este ataque solo es posible si los dos usuarios comparten el mismo
hash o si el valor de los hashes son null. Esto ocurriría si las contraseñas se
comprueban desde otro sistema, por ejemplo SSO (CVE-2019-10911).
JQuery
En la última actualización de JQuery
revelaron una vulnerabilidad que permite realizar un ataque XSS a partir de un
comportamiento inesperado de la función JQuery.extend(true, {}, … ).
Los problemas reportados a Symfony han
sido parcheados en el mismo framework, y Drupal lo actualiza en las versiones
8.6.15 y 8.5.15. Así como el problema de XSS de JQuery además de actualizarse
en las versiones citadas anteriormente, se añade su actualización a Drupal
7.66.
Más
información
Drupal:
JQuery:
Symfony:
Fuente: Hispasec