Actualización crítica por vulnerabilidades en Drupal
El equipo de seguridad de Drupal ha publicado un boletín de seguridad en el que se solucionan tres vulnerabilidades que podrían permitir a un atacante obtener o registrar una cuenta de usuario, ejecutar código arbirtrario o acceder a archivos sin autorización.
Drupal es un CMF (Content Management Framework) modular multipropósito y muy configurable, desarrollado bajo licencia GNU/GPL en PHP. Permite la publicación de artículos, imágenes, y otro tipo de archivos con servicios añadidos como foros, encuestas, votaciones, blogs y administración de usuarios y permisos.
El problema más grave, con CVE-2017-6920 y considerado crítico, consiste en un tratamiento inadecuado de objetos PHP por el analizador PECL YAML, que podría permitir la ejecución remota de código. Con CVE-2017-6921, considerada menos crítica una vulnerabilidad debida a que el archivo de recursos REST no valida adecuadamente algunos cambios al manipular archivos. Solo afecta a sitios con el módulo RESTful Web Services (rest) activo, el archivo de recursos REST esté habilitado y permita peticiones PATCH. Un atacante podrá conseguir o registrar una cuenta de usuario con permisos para subir archivos y modificar el archivo de recursos. Estas dos vulnerabilidades solo afectan a Drupal 8.
Por último, con CVE-2017-6922 y considerada moderadamente crítica, un problema que podría permitir a usuarios anónimos acceder a archivos subidos por otros usuarios anónimos a un sistema de archivos privado. Afecta a Drupal 7 y Drupal 8.
Se recomienda la actualización a las versiones Drupal core 7.56 o Drupal core 8.3.4
Más información:
Drupal Core - Multiple Vulnerabilities - SA-CORE-2017-003
drupal 7.56
drupal 8.3.4
Antonio Ropero
Twitter: @aropero
Via: unaaldia.hispasec.com
Actualización crítica por vulnerabilidades en Drupal
Reviewed by Zion3R
on
17:14
Rating:
Reviewed by Zion3R
on
17:14
Rating:
