Se ha reportado una vulnerabilidad de severidad alta que afecta al core de Drupal, cuya explotación podría permitir una escalada de privilegios.
Esta vulnerabilidad afecta únicamente a páginas web con el módulo JSON:API habilitado, ya que dicho módulo mostrará trazas de errores que en algunas configuraciones podría hacer que la información sensible se almacene en caché (cache poisoning) y se ponga a disposición de usuarios anónimos, dando lugar a una escalada de privilegios.
Recursos afectados
Core de Drupal, versiones:
- desde 8.7.0 hasta anteriores a 9.5.11;
- desde 10.0 hasta anteriores a 10.0.11;
- desde 10.1 hasta anteriores a 10.1.4.
Drupal 7 no está afectado.
Recomendaciones
Instalar la última versión:
- Drupal 10.1, actualizar a 10.1.4;
- Drupal 10.0, actualizar a 10.0.11;
- Drupal 9.5, actualizar a 9.5.11
Todas las versiones de Drupal 9 anteriores a la 9.5, junto con Drupal 8, están en fase EoL y no reciben actualizaciones de seguridad.
Referencias
- https://www.drupal.org/project/drupal/releases/10.1.4
- https://www.drupal.org/project/drupal/releases/10.0.11
- https://www.drupal.org/project/drupal/releases/9.5.11
- https://www.drupal.org/sa-core-2023-006
- https://www.incibe.es/incibe-cert/alerta-temprana/avisos/vulnerabilidad-de-escalada-de-privilegios-en-el-core-de-drupal