El equipo de seguridad de Drupal ha publicado un boletín de seguridad en el que se solucionan tres vulnerabilidades que podrían permitir a un atacante obtener o registrar una cuenta de usuario, ejecutar código arbirtrario o acceder a archivos sin autorización.

Drupal es un CMF (Content Management Framework) modular multipropósito y muy configurable, desarrollado bajo licencia GNU/GPL en PHP. Permite la publicación de artículos, imágenes, y otro tipo de archivos con servicios añadidos como foros, encuestas, votaciones, blogs y administración de usuarios y permisos.

El problema más grave, con CVE-2017-6920 y considerado crítico, consiste en un tratamiento inadecuado de objetos PHP por el analizador PECL YAML, que podría permitir la ejecución remota de código. Con CVE-2017-6921, considerada menos crítica una vulnerabilidad debida a que el archivo de recursos REST no valida adecuadamente algunos cambios al manipular archivos. Solo afecta a sitios con el módulo RESTful Web Services (rest) activo, el archivo de recursos REST esté habilitado y permita peticiones PATCH. Un atacante podrá conseguir o registrar una cuenta de usuario con permisos para subir archivos y modificar el archivo de recursos. Estas dos vulnerabilidades solo afectan a Drupal 8.

Por último, con CVE-2017-6922 y considerada moderadamente crítica, un problema que podría permitir a usuarios anónimos acceder a archivos subidos por otros usuarios anónimos a un sistema de archivos privado. Afecta a Drupal 7 y Drupal 8.

Se recomienda la actualización a las versiones Drupal core 7.56 o Drupal core 8.3.4

http://ftp.drupal.org/files/projects/drupal-8.3.4.tar.gz

http://ftp.drupal.org/files/projects/drupal-7.56.tar.gz

Más información:

Drupal Core - Multiple Vulnerabilities - SA-CORE-2017-003

https://www.drupal.org/SA-CORE-2017-003

drupal 7.56

https://www.drupal.org/project/drupal/releases/7.56

drupal 8.3.4

https://www.drupal.org/project/drupal/releases/8.3.4

Antonio Ropero

[email protected]

Twitter: @aropero