- Asesor ID: DRUPAL-SA-2010-001-CORE
- Proyecto: el núcleo de Drupal
- Versión: 5.x, 6.x
- Fecha: 2010-marzo-2003
- riesgo de seguridad: Crítica
- Explotables de: a distancia
- Vulnerabilidad: Múltiples vulnerabilidades
Descripción
Múltiples vulnerabilidades y debilidades fueron descubiertas en Drupal.
Instalación de cross site scripting
Un valor suministrado por el usuario se emite directamente Durante la instalación permite a un usuario malicioso para elaborar una dirección URL y realizar un ataque de cross-site scripting. El exploit sólo puede llevarse a cabo en los sitios que aún no instalado.
Esto afecta la emisión de Drupal 6.x solamente.
Abrir la redirección
El drupal_goto función de la API () es susceptible a un ataque de phishing. ¿Podría un atacante hace una redirección de una manera que obtiene el sitio de Drupal para enviar al usuario a una URL arbitraria Siempre. Ningún usuario envía datos serán enviados a esa dirección.
Este problema afecta a 5.xy 6.x de Drupal y
secuencias de comandos locales módulo de cross-site
Local módulos dependientes de Colaboración y el módulo no desinfectar la visualización de códigos de idioma, y Inglese nombres lengua materna adecuadamente. Mientras que estos por lo general a partir de una lista preseleccionada, administrador de entrada arbitraria está permitido. Esta vulnerabilidad es mitigada por el hecho de que el atacante debe tener un papel con el permiso del ‘Administrar idiomas.
Este problema afecta a 5.xy 6.x de Drupal y
Bloqueado la regeneración de sesión de usuario
Bajo ciertas circunstancias, un usuario con una sesión abierta se bloquea que pueden mantener su sesión en el sitio de Drupal, Sant ser bloqueado.
Este problema afecta a 5.xy 6.x de Drupal y
Las versiones afectadas
- Drupal 6.x anteriores a la versión 6.16.
- Drupal 5.x anteriores a la versión 5.22.
Solución
Instala la última versión:
- Si está ejecutando 6.x de Drupal continuación, actualizar a Drupal 6.16 .
- Si está ejecutando Drupal 5.x continuación, actualizar a Drupal 5.22 .
Drupal 5 ya no se mantiene cuando se libera de Drupal 7 . Actualización a Drupal 6 se recomienda.
Si usted no puede actualizar de inmediato, puede aplicar un parche para garantizar su instalación hasta que son capaces de hacer una actualización correcta. Estos parches corregir las vulnerabilidades de seguridad, pero no contienen otras correcciones en libertad en el que se Drupal Drupal 6.16 o 5.22.
- Para usar el parche Drupal 6.15 SA-CORE-2010-001-6.15.patch .
- Para usar el parche Drupal 5.21 SA-CORE-2010-001-5.21.patch .
Reportado por
La cruz site scripting problema de instalación fue informado por David Rothstein (*).
La redirección de la consola fue reportado por Martin Barbella .
El módulo de cross-site scripting locales fue reportado por Justin Klein Keane .
La sesión de usuario bloqueado tema regeneración fue reportado por Craig A. Hancock .
(*) Miembro del equipo de seguridad de Drupal.
Fijado por
La cruz site scripting problema de instalación se haya fijado por Heine Deelstra .
La redirección de la consola fue fijado por Gerhard Killesreiter y Deelstra Heine .
El módulo de cross-site scripting local fue fijado por Stéphane Corlosquet , Wolanin Pedro , Deelstra Heine y Drumm Neil .
La sesión de usuario bloqueado tema regeneración fue fijado por Gerhard Killesreiter .
Todos los arreglos fueron realizados por miembros del equipo de seguridad de Drupal.
Póngase en contacto con
El equipo de seguridad para Drupal puede ser alcanzado en la seguridad en drupal.org o por la forma en http://drupal.org/contact .