Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
21/11/2013
Múltiples vulnerabilidades en el núcleo de Drupal
Se han detectado y corregido múltiples vulnerabilidades de alta criticidad en el núcleo del gestor de contenidos Drupal.Múltiples vulnerabilidades de CSRF (Validación del formulario - Drupal 6 y 7)
El formulario en la API de Drupal incorpora validación de CSRF, y permite que cualquier módulo realice su propia validación dentro del formulario. En ciertos casos, las funciones de validación del formulario podrían ejecutar operaciones inseguras. Dado que la protección de CSRF es una validación especialmente importante, la API del núcleo de Drupal ha sido modificada en esta versión, por lo tanto, ahora evita posteriores validaciones si falla la validación de CSRF.
Múltiples vulnerabilidades debido a debilidades en la generación de números pseudoaleatorios usando mt_rand() (Formulario API, OpenID y generación aleatoria de contraseña - Drupal 6 y 7)
El núcleo de Drupal usa directamente el generador de números pseudoaletorios mt_rand() para generar cadenas relacionadas con la seguridad, usadas en varios módulos del núcleo.
Prevención de ejecución de código (Directorio de archivos .htaccess para Apache - Drupal 6 y 7)
El núcleo de Drupal intenta añadir una protección de defensa 'en profundidad' para prevenir la ejecución de scripts mediante la colocación de un archivo .htaccess en los directorios de archivos, el cual frena la ejecución de scripts PHP en el servidor Apache.
Evasión de acceso (Validación de token de seguridad - Drupal 6 y 7)
La función drupal_valid_token() puede devolver TRUE en tokens inválidos si el invocador no asegura que el token es una cadena.
Cross-Site Scripting (Módulo Image - Drupal 7)
Las descripciones del campo Image no son filtradas debidamente antes de ser mostradas en HTML.
Cross-Site Scripting (Módulo Color - Drupal 7)
Un atacante podría engañar a un usuario administrador autenticado para que visite una página que contenga un código JavaScript específico, lo que podría llevar a ataques de XSS reflejados a través de la ejecución de JavaScript en CSS.
Redirección abierta (Módulo Overlay - Drupal 7)
El módulo Overlay muestra páginas administrativas como una capa sobre la página actual (usando JavaScript), en lugar de reemplazar la página en la ventana del navegador. El módulo Overlay no valida lo suficiente las URLs antes de mostrar sus contenidos.
Drupal 6.x anteriores a 6.29.
Drupal 7.x anteriores a 7.24.
None
Solución:Actualizar Drupal a las versiones 6.29 y 7.24.
Advertencia: La prevención de ejecución de datos en instalaciones Apache podría requerir la configuración del servidor, tal y como se indica aquí (requiere cambios en los archivos .htaccess).
Notas:INTECO-CERT
Drupal SA-CORE-2013-003