Cabecera-v2-web.jpg

Corregidas vulnerabilidades en Drupal


El equipo de seguridad de Drupal ha publicado un boletí­n de seguridad calificado como moderadamente crí­tico, en el que se solucionan cuatro vulnerabilidades.

Drupal es un CMF (Content Management Framework) modular multipropósito y muy configurable, desarrollado bajo licencia GNU/GPL en PHP. Permite la publicación de artí­culos, imágenes, y otro tipo de archivos con servicios añadidos como foros, encuestas, votaciones, blogs y administración de usuarios y permisos.

El primer problema considerado critico reside en un cross-site scripting debido a que Drupal no filtraba adecuadamente las excepciones. También de gravedad crí­tica, una vulnerabilidad debido a que la ruta system.temporary podrí­a permitir a un atacante sin permisos de administrador la descarga de la configuración completa.

drupal.png

Un último problema, de menor gravedad que los anteriores, podrí­a permitir a usuarios sin permisos para la administración de comentarios configurar la visibilidad de comentarios en los nodos que puedan editar.

El primer problema considerado de menor gravedad, reside en un fallo de inconsistencia de nombres en consultas con etiquetas term_access que podrí­a permitir revelar información sobre términos de taxonomí­a a usuarios sin privilegios. Afecta a Drupal 7 y Drupal 8. También de menor criticidad el formulario de reinicio de contraseña de usuario no especifica el contexto de caché de forma adecuada, lo que puede permitir el envenenamiento de caché y ofrecer contenido no deseado en la página. Solo afecta a Drupal 8.

Por otra parte, una vulnerabilidad moderadamente crí­tica podrí­a permitir a usuarios maliciosos construir una URL a un formulario de confirmación que tras interactuar con el formulario redireccione al usuario a un sitio web de un tercero. Esto podrí­a emplearse para ataques de ingenierí­a social. Solo afecta a Drupal 7.

Por último, de gravedad moderadamente crí­tica, una URL especialmente diseñada puede causar una denegación de servicio a través del mecanismo de transliteración. Solo afecta a Drupal 8.

Se recomienda la actualización a las versiones de Drupal 7.52 o 8.2.3.


Fuente: hispasec.com


pie.png

CERT-PY | Centro de Respuestas a Incidentes Cibernéticos
Ministerio de Tencnologí­as de la Información y Comunicación (MITIC)

Avda. Gral. Santos c/ Concordia | Telefono: (595 21) 217-9000
República del Paraguay

80x15.png

Versión del Template 1.11