Drupal security release - εκδόσεις 6x & 7x - cross site scripting, sql injection, information disclosure

Δείτε online: https://www.drupal.org/SA-CORE-2015-003
* ID αναφοράς : DRUPAL-SA-CORE-2015-003
* Project: Drupal Core
* Έκδοση : 6.x , 7.x
* Ημερομηνία : 2014 - Αύγουστος- 19
* Security risk: 18/25 (Critical)
AC:Complex/A:User/CI:All/II:All/E:Proof/TD:All
* Τύπος Ευπάθειας : Πολλαπλές ευπάθειες , Cross Site Scripting, Access bypass, SQL Injection, Open Redirect

.... CROSS-SITE SCRIPTING - AJAX SYSTEM - DRUPAL 7

Έχει διαπιστωθεί η ύπαρξη ευπάθειας η οποία επιτρέπει σε κακόβουλους χρήστες να κάνουν επίθεση cross-site scripting μέσω του μηχανισμού Drupal.ajax() σε whitelisted HTML element.

Αυτή η ευπάθεια μετριάζεται σε sites που δεν επιτρέπουν σε μη έμπιστους χρήστες να παράγουν html.

Η core έκδοση του Drupal 6 δεν έχει επηρεαστεί, αλλά δείτε τις αντίστοιχες συμβουλές για το Drupal 6 Ctools module: SA-CONTRIB-2015-141.

.... CROSS-SITE SCRIPTING - AUTOCOMPLETE SYSTEM - DRUPAL 6 AND 7

Μία ευπάθεια τύπου cross-site scripting εντοπίστηκε στον μηχανισμό autocomplete των φορμών. Στο αιτούμενο URL δεν γίνεται αποτελεσματικό sanitize.

Αυτή η επάθεια περιορίζεται από το γεγονός ότι ο κακόβουλος χρήστης θα πρέπει να έχει τη δυνατότητα ανεβάσματος αρχείων.

.... SQL INJECTION - DATABASE API - DRUPAL 7

Έχει ανακαλυφθεί μία ευπάθεια στον μηχανισμό SQL comment filtering το οποίο μπορεί να επιτρέψει σε χρήστη με αυξημένα δικαιώματα να παράξουν κακόβουλο κώδικα στα SQL σχόλια.

Αυτή η ευπάθεια περιορίζεται από το γεγονός ότι μόνο το module που έχει εντοπίσει η ομάδα ασφαλείας κάνει χρήση του comment filtering system με τρόπο που μπορεί να πυροδοτήσει την ευπάθεια. Αυτό το module απαιτεί υψηλού επιπέδου πρόσβαση προκειμένου να μπορέσει να εκδηλωθεί η επίθεση.

.... CROSS-SITE REQUEST FORGERY - FORM API - DRUPAL 6 AND 7

Έχει εντοπιστεί ευπάθεια στο form API του Drupal αναφορικά με τον τρόπο που γίνεται το uploading των αρχείων, καθότι το form token δεν ταυτοποιείται εγκαίρως. Αυτή η ευπάθεια ενδέχεται να επιτρέψει σε κάποιο κακόβουλο χρήστη να ανεβάσει αρχεία μέσω λογαριασμού άλλου χρήστη.

Αυτή η ευπάθεια περιορίζεται από το γεγονός ότι τα αρχεία που ανεβαίνουν θα πρέπει να είναι προσωρινά και το Drupal σβήνει τα temporary files αυτόματα μετά από 6 ώρες.

.... INFORMATION DISCLOSURE IN MENU LINKS - ACCESS SYSTEM - DRUPAL 6 AND 7

Χρήστες χωρίς το δικαίωμα "access content" μπορούν να δούν τους τίτλους των nodes τα οποία δεν έχουν δικαίωμα να προσπελάσουν, εφόσον τα nodes αυτά έχουν προστεθεί σε menu του site στα οποία ο χρήστης έχει προσβαση.

-------- Εκδόσεις που επηρεάζονται --------
* Οι εκδόσεις του Drupal 6.x core πριν από την 6.37 .
* Οι εκδόσεις του Drupal 7.x core πριν από την 7.39 .


-------- Λύση --------
Εγκαταστήστε την τελευταία έκδοση:
* Εάν χρησιμοποιήσετε το Drupal 6.x , αναβαθμίστε σε Drupal core 6.37.
* Αν χρησιμοποιείτε Drupal 7.x , αναβαθμίστε σε Drupal core 7.39.