Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

20/11/2014

Vulnerabilitat de segrest de sessió i DoS en Drupal

S’ha descobert una vulnerabilitat de segrest de sessió que afecta les versions 6.x i 7.x, i una altra de denegació de servici que únicament afecta la branca 7.x. Per a ambdós versions ja hi ha actualitzacions que corregixen el problema.

Segrest de sessió (Drupal 6 i 7):

• A través d’una petició especialment manipulada és possible que una sessió d’usuari puga donar accés a altres, i permeta la seua suplantació. Este atac és possible realitzar-lo en llocs que servixen continguts amb "HTTP" i "HTTPS", encara que és possible que hi haja altres vectors d’atac.

Denegació de servici (Drupal 6 i 7):

• Drupal 7 inclou una API per a codificar (hashing) les contrasenyes i no emmagatzemar-les en text pla. Una vulnerabilitat en esta API podria permetre a un atacant, a través d’una petició especialment modificada, que provocaria un esgotament de CPU i donaria com a resultat una denegació de servici del lloc afectat. Esta vulnerabilitat pot ser explotada per usuaris sense necessitat d'entrar en el sistema. Esta vulnerabilitat, també afecta la versió 6 de Drupal si està habilitada una versió del mòdul Secure Password Hashes anterior a la 6.x-2.1.   

 

Sistemes Afectats:

Totes les versions de Drupal:

• Anteriors a 6.34
• Anteriors a 7.34

Referències:

None

Solució:

Actualitzeu a les versions de Drupal 6.34 i 7.34.

 

Notes:

• Aviso Drupal (SA-CORE-2014-006) 
• Timing Attack and the importance of controlling the length of the input – The Case of Drupal 
• Drupal Denial of Service Responsible Disclosure - Attacking with long passwords 

CSIRT-CV