Drupal ha emitido un aviso de seguridad de cuatro vulnerabilidades críticas clasificadas de moderadamente críticas a críticas. Las vulnerabilidades afectan a las versiones 9.3 y 9.4 de Drupal.
El aviso de seguridad advirtió que las diversas vulnerabilidades podrían permitir que un hacker ejecute código arbitrario, poniendo en riesgo un sitio web y un servidor.
Estas vulnerabilidades no afectan a la versión 7 de Drupal.
Además, cualquier versión de Drupal anterior a la 9.3.x ha alcanzado el estado de fin de vida útil, lo que significa que ya no recibe actualizaciones de seguridad, lo que hace que su uso no sea seguro.
Contenido del Articulo
Vulnerabilidad crítica: ejecución de código PHP arbitrario
Una vulnerabilidad de ejecución de código PHP es aquella en la que un atacante puede ejecutar comandos arbitrarios en un servidor.
La vulnerabilidad fue causada inadvertidamente por dos funciones de seguridad que supuestamente bloquearían las cargas de archivos peligrosos pero fallaron porque no funcionaron bien juntas, lo que resultó en la vulnerabilidad crítica actual que puede conducir a la ejecución remota de código.
Según Drupal:
“…las protecciones para estas dos vulnerabilidades no funcionaron correctamente en el pasado.
Como resultado, si el sitio se configuró para permitir la carga de archivos con una extensión htaccess, los nombres de esos archivos no se desinfectarían adecuadamente.
Esto podría permitir que se eludan las protecciones proporcionadas por los archivos .htaccess predeterminados del núcleo de Drupal y la posible ejecución remota de código en servidores web Apache.
Una ejecución remota de código es cuando un atacante puede ejecutar un archivo malicioso y apoderarse de un sitio web o un servidor completo. En este caso particular, el atacante puede atacar el propio servidor web cuando ejecuta el software del servidor web Apache.
Apache es un software de servidor web de código abierto en el que se ejecuta todo lo demás, como PHP y WordPress. Es esencialmente la parte del software del propio servidor.
Acceso para eludir vulnerabilidad
Esta vulnerabilidad, calificada como moderadamente crítica, permite que un atacante cambie datos a los que se supone que no debe tener acceso.
Según el aviso de seguridad:
“Bajo ciertas circunstancias, la API de formulario central de Drupal evalúa incorrectamente el acceso al elemento de formulario.
…No se sabe que los formularios proporcionados por el núcleo de Drupal sean vulnerables. Sin embargo, los formularios agregados a través de módulos o temas contribuidos o personalizados pueden verse afectados”.
Múltiples vulnerabilidades
Drupal ha publicado un total de cuatro avisos de seguridad:
Este aviso advierte sobre múltiples vulnerabilidades que afectan a Drupal y que pueden exponer un sitio a diferentes tipos de ataques y resultados.
Estos son algunos de los posibles problemas:
- Ejecución de código PHP arbitrario
- Guión en línea
- galletas filtradas
- Acceso a la vulnerabilidad Bypass
- Acceso no autorizado a los datos
- Vulnerabilidad de divulgación de información
Se recomienda actualizar Drupal
El aviso de seguridad de Drupal recomendaba actualizar las versiones 9.3 y 9.4 inmediatamente.
Los usuarios de la versión 9.3 de Drupal deben actualizar a la versión 9.3.19.
Los usuarios de la versión 9.4 de Drupal deben actualizar a la versión 9.4.3.
Referencia
Consejos de seguridad del núcleo de Drupal
Núcleo Drupal – Crítico – Ejecución arbitraria de código PHP
Imagen destacada de Shutterstock/solarseven
