Drupal Core - Multiple Vulnerabilities - SA-CORE-2017-004

Δείτε online: https://www.drupal.org/SA-CORE-2017-004 

Η έκδοση Drupal 8.3.7 είναι μια έκδοση συντήρησης που διορθώνει κενά ασφαλείας. Δεν υπάρχουν νέα features ή διορθώσεις σε bugs που δεν σχετίζονται με την ασφάλεια. Σας συνιστούμε να αναβαθμίσετε την τρέχουσα έκδοση του Drupal site σας στην τελευταία, για να το διατηρήσετε ασφαλές.

   * Advisory ID: DRUPAL-SA-CORE-2017-004
   * Project: Drupal core [4]
   * Version: 8.x
   * Date: 2017-Aug-16
   * Security risk: 15/25 ( Critical)
   * Multiple vulnerabilities

Δείτε στην συνέχεια τις λεπτομέρειες για όλες τις σημαντικές αλλαγές που φέρνει η έκδοση 8.3.7 και για τα κενά ασφαλείας που διορθώνει.

Views - Access Bypass - Moderately Critical - Drupal 8 - CVE-2017-6923

Όταν δημιουργείτε ένα view, μπορείτε προαιρετικά να χρησιμοποιήσετε Ajax για να αναβαθμίσετε τα δεδομένα που προβάλλετε μέσα από παραμέτρους για το φιλτράρισμα. Το υποσύστημα/module των views δεν περιορίζει την πρόσβαση στο Ajax endpoint μόνο στα views που έχουν παραμετροποιηθεί για να χρησιμοποιούν Ajax. Αυτό το κενό στην ασφάλεια μετριάζεται μόνο εάν υπάρχουν περιορισμοί πρόσβασης στα views. Είναι γενικότερα καλή πρακτική να περιλαμβάνετε πάντα κάποιου είδους περιορισμούς πρόσβασης σε όλα τα views, ακόμη κι αν χρησιμοποιείτε κάποιο άλλο module για την προβολή τους.

Το REST API μπορεί να παρακάμψει την αποδοχή των σχολίων - Access Bypass – Moderately Critical -  Drupal 8 - CVE-2017-6924

Όταν χρησιμοποιείτε το REST API, χρήστες χωρίς τα σωστά permissions μπορούν να ποστάρουν σχόλια μέσω REST, τα οποία γίνονται approved ακόμα κι αν ο χρήστης δεν έχει το δικαίωμα να ποστάρει approved σχόλια.

Αυτό το κενό επηρεάζει μόνο sites τα οποία έχουν ενεργοποιημένο το RESTful Web Services (rest) module, όπως και το REST resource entity για σχόλια και στα οποία ένας κακόβουλος χρήστης μπορεί να αποκτήσει πρόσβαση σε ένα λογαριασμό χρήστη στο site χωρίς δικαιώματα για να ποστάρει σχόλια ή σε sites στα οποία μπορούν να κάνουν σχόλια ανώνυμοι χρήστες.

Entity access bypass για entities τα οποία δεν έχουν UUIDs ή έχουν protected revisions – Access Bypass  - Critical - Drupal 8 - CVE-2017-6925

Υπάρχει μια ευπάθεια στο entity access system η οποία μπορεί να επιτρέπει ανεπιθύμητη πρόσβαση στην προβολή, δημιουργία, ανανέωση ή διαγραφή των entities. Η ευπάθεια αυτή επηρεάζει μόνο entities που δεν χρησιμοποιούν ή δεν έχουν UUIDs, και entities που έχουν διαφορετικούς περιορισμούς πρόσβασης σε διαφορετικά revisions του ίδιου entity.

Εκδόσεις που επηρεάζονται

   * Εκδόσεις Drupal core 8.x προηγούμενες της 8.3.7

Λύση

Εγκαταστήστε την τελευταία έκδοση:

   * Εάν χρησιμοποιείτε Drupal core 8.x, αναβαθμίστε στην Drupal core 8.3.7
   * Η έκδοση Drupal 7 core δεν επηρεάζεται , παρόλα αυτά για τα Views της Drupal 7 υπάρχει το κενό ασφαλείας: Moderately Critical - Access Bypass - DRUPAL-SA-CONTRIB-2017-068