Gestion du document

Origine: bjCSIRT

Numéro: 2019/ALERTE/008

Date de l’alerte: 23/12/2019

TLP: White

Aperçu de la menace

L’équipe de développement chez Drupal a récemment publié d’importantes mises à jour de sécurité pour son logiciel de gestion de contenu open source qui corrige une vulnérabilité « critique » et trois vulnérabilités « modérées » de son CMS (Content Management System).

Description

Vulnérabilité critique des liens symboliques dans Drupal :

Cette vulnérabilité concerne une bibliothèque, appelée « Archive_Tar », que Drupal Core utilise pour créer, répertorier, extraire et ajouter des fichiers aux archives tar.

La vulnérabilité réside dans la façon dont la bibliothèque affectée décompose les archives avec des liens symboliques, qui, si elles étaient exploitées, pourraient permettre à un attaquant d’écraser des fichiers sensibles sur un serveur ciblé en téléchargeant un fichier tar conçu de manière malveillante. La faille affecte uniquement les sites Web Drupal qui sont configurés pour traiter les fichiers .tar, .tar.gz, .bz2 ou .tlz téléchargés par des utilisateurs non fiables.

Vulnérabilités Modérées (3) :

Les développeurs de Drupal ont également corrigé trois vulnérabilités « modérées » dans son logiciel. Les détails sont les suivants:

Déni de Service (DoS):le fichier install.php utilisé par Drupal 8 Core contient une faille qui peut être exploitée par un attaquant distant non authentifié afin de nuire à la disponibilité d’un site Web ciblé par corruption de ses données mises en cache.

Contournement des restrictions de sécurité:la fonction de téléchargement de fichiers dans Drupal 8 ne supprime pas les points de début et de fin (‘.’) Des noms de fichiers peuvent être utilisés par un attaquant pouvant télécharger les fichiers afin écraser des fichiers systèmes arbitraires, tels que .htaccess au fins de contourner les restrictions d’accès.

Accès non autorisé:cette vulnérabilité existe dans le module de bibliothèque multimédia par défaut de Drupal. Lorsqu’elle ne restreint pas correctement l’accès aux éléments multimédias dans certaines configurations, elle pourrait permettre à un utilisateur à faible privilèges d’obtenir un accès non autorisé à des informations sensibles qui sont autrement hors de sa portée.

Mesures à prendre

Mettre à jour les versions de Drupal :

Si vous utilisez Drupal 7.x, passez à Drupal 7.69.

Si vous utilisez Drupal 8.7.x, passez à Drupal 8.7.11.

Si vous utilisez Drupal 8.8.x, passez à Drupal 8.8.1.

Les trois vulnérabilités modérées citées ci-dessus ont été corrigées avec la sortie des versions Drupal 8.7.11 et 8.8.1

Lien Utiles

https://thehackernews.com/2019/12/drupal-website-hacking.html

https://www.securitynewspaper.com/2019/12/19/hacking-drupal-websites-via-tar-files-critical-vulnerability/