Drupal security release - εκδόσεις 6x & 7x - session-hijacking, denial of service

Δείτε online: https://www.drupal.org/SA-CORE-2014-006
* ID αναφοράς : DRUPAL - SA - CORE - 2014-006
* Project: Drupal Core
* Έκδοση : 6.x , 7.x
* Ημερομηνία : 2014 - Νοέμβριος- 19
* Security risk: 14/25 ( Moderately Critical
AC : Βασικές / A : Καμία / CI : Μερικές / ΙΙ : Μερικές / Ε : Θεωρητική / TD : Όχι συχνές
* Τύπος Ευπάθειας : Πολλαπλές ευπάθειες (Session hijacking - Denial of service)

.... Session hijacking ( Drupal 6 και 7 )

Ενδέχεται ένας χρήστης να αποκτήσει πρόσβαση σε SESSION άλλου χρήστη μέσα από κάποιο ειδικά διαμορφωμένο Request. Αυτή η ευπάθεια επιτρέπει σε κάποιον κακόβουλο χρήστη να αποκτήσει πρόσβαση σε στοιχεία κάποιας τυχαίας συνεδρίας (SESSION) και συνεπώς σε στοιχεία άλλου χρήστη.

Είναι γνωστό ότι μια τέτοια επίθεση μπορεί να συμβεί σε ορισμένα Drupal 7 sites σε ενότητες της ιστοσελίδας που εξυπηρετούνται αμφότερες από HTTP και HTTPS συνδέσεις ( "mixed - mode" ), αλλά είναι πιθανόν πέραν την καταγεγραμμένης αυτής ευπάθειας να προκύψουν και άλλου είδους ευπάθειες (κενά ασφαλείας) λόγω αυτού του λειτουργικού χαρακτηριστικού τόσο για το Drupal 6 όσο και για Drupal 7.

.... Άρνηση της υπηρεσίας ( Drupal 7 μόνο )

Το Drupal 7 περιλαμβάνει ένα API κρυπτογράφησης κωδικών (password hashing) για να εξασφαλίσει ότι οι κωδικοί χρήστη δεν αποθηκεύονται σε μορφή απλού κειμένου στη βάση δεδομένων.

Μία ευπάθεια σε αυτό το API επιτρέπει σε κάποιον κακόβουλο χρήστη να στείλει ειδικά δημιουργημένα αιτήματα με αποτέλεσμα να εξαντλούνται οι πόροι της CPU και της μνήμης. Αυτό μπορεί να οδηγήσει σε άρνηση υπηρεσίας ( denial of service ) του server λόγω απώλειας πόρων και συνεπώς αδυναμίας εξυπηρέτησης νέων αιτημάτων.


-------- Εκδόσεις που επηρεάζονται --------
* Οι εκδόσεις του Drupal 6.x core πριν από την 6.34 .
* Οι εκδόσεις του Drupal 7.x core πριν από την 7.34 .


-------- Λύση --------
Εγκαταστήστε την τελευταία έκδοση:
* Εάν χρησιμοποιήσετε το Drupal 6.x , αναβαθμίστε σε Drupal core 6.34.
* Αν χρησιμοποιείτε Drupal 7.x , αναβαθμίστε σε Drupal core 7.34.

Αν έχετε ρυθμίσει κάποιο δικό σας password.inc αρχείο στην εγκατάσταση Drupal 7 του site σας, θα πρέπει να βεβαιωθείτε ότι δεν είναι επιρρεπές στην ίδια ευπάθεια άρνησης υπηρεσίας. Δείτε επίσης την παρόμοια συμβουλή ασφαλείας για το Drupal 6 με κωδικό αναφοράς: SA - CONTRIB - 2014-113