Drupal advierte sobre vulnerabilidad crítica de alta gravedad


Drupal ha publicado dos avisos de seguridad que advierten sobre una vulnerabilidad que afecta a varias versiones de Drupal y que podría permitir que un atacante acceda a información confidencial.

Dos vulnerabilidades afectan actualmente a Drupal. Una está clasificada como una vulnerabilidad crítica de alta gravedad.

Vulnerabilidad en biblioteca de terceros

Drupal utiliza un motor de plantillas de terceros llamado Twig.

Según la documentación de Drupal:

«Cuando su página web se procesa, el motor Twig toma la plantilla y la convierte en una plantilla PHP ‘compilada’ que se almacena en un directorio protegido…»

Drupal utiliza la biblioteca Twig para la creación de plantillas, pero también para un proceso llamado desinfección, que es una forma de evitar que se descarguen archivos maliciosos.

Twig describe las vulnerabilidades como aquellas que permiten a un atacante usar el cargador del sistema de archivos para acceder a archivos confidenciales.

Drupal advierte:

«Son posibles varias vulnerabilidades si un usuario que no es de confianza tiene acceso para escribir código Twig, incluido el posible acceso de lectura no autorizado a archivos privados, el contenido de
otros archivos en el servidor o las credenciales de la base de datos. »

Esta vulnerabilidad afecta a los usuarios de Drupal 9.3 y 9.4.

Plan de acción recomendado para mitigar la vulnerabilidad

Se recomienda que los usuarios de Drupal 9.3 actualicen a 9.3.22.

Se recomienda a los usuarios de Drupal 9.4 que actualicen a 9.4.7.

Vulnerabilidad moderada

Drupal también advirtió sobre una vulnerabilidad de omisión de acceso calificada como moderada que afecta a los editores que utilizan el módulo S3 File System para Drupal 7.x.

Una vulnerabilidad de omisión de acceso es una vulnerabilidad en la que un atacante puede eludir las barreras de autenticación y obtener acceso a una aplicación y archivos confidenciales que no debería.
de lo contrario tener acceso a.

La vulnerabilidad se describe de la siguiente manera:

«El módulo no previene suficientemente el acceso a archivos en múltiples esquemas de sistemas de archivos almacenados en el mismo contenedor».

El aviso señala que esta vulnerabilidad se mitiga mediante varios pasos que deben seguirse antes de que un atacante pueda obtener acceso.

La reseña explica:

«Esta vulnerabilidad se ve mitigada por el hecho de que un atacante debe obtener un método para acceder a rutas de archivos arbitrarias, el sitio debe tener habilitada una toma de control pública o privada, y se debe omitir la memoria caché de metadatos del archivo».

Curso de acción recomendado

Se recomienda a los usuarios de Drupal que utilizan el módulo S3 File System para Drupal 7.x que actualicen a S3 File System 7.x-2.14 para corregir la vulnerabilidad.

Cotizaciones

Drupal Core – Crítico – Múltiples Vulnerabilidades – SA-CORE-2022-016

Sistema de archivos S3: moderadamente crítico: omisión de acceso: SA-CONTRIB-2022-057

Versión de seguridad de Twig: capacidad de cargar un modelo fuera de un directorio configurado cuando se usa el cargador del sistema de archivos

Imagen destacada de Shutterstock/Andrey_Popov

window.addEventListener( 'load', function() { setTimeout(function(){ striggerEvent( 'load2' ); }, 2000); });

window.addEventListener( 'load2', function() {

if( sopp != 'yes' && addtl_consent != '1~' && !ss_u ){

!function(f,b,e,v,n,t,s) {if(f.fbq)return;n=f.fbq=function(){n.callMethod? n.callMethod.apply(n,arguments):n.queue.push(arguments)}; if(!f._fbq)f._fbq=n;n.push=n;n.loaded=!0;n.version='2.0'; n.queue=[];t=b.createElement(e);t.async=!0; t.src=v;s=b.getElementsByTagName(e)[0]; s.parentNode.insertBefore(t,s)}(window,document,'script', 'https://connect.facebook.net/en_US/fbevents.js');

if( typeof sopp !== "undefined" && sopp === 'yes' ){ fbq('dataProcessingOptions', ['LDU'], 1, 1000); }else{ fbq('dataProcessingOptions', []); }

fbq('init', '1321385257908563');

fbq('track', 'PageView');

fbq('trackSingle', '1321385257908563', 'ViewContent', { content_name: 'drupal-critical-vulnerability', content_category: 'drupal news' }); } });

La entrada Drupal advierte sobre vulnerabilidad crítica de alta gravedad se publicó primero en Seo Con SEM.



source https://seoconsem.es/2022/10/01/drupal-advierte-sobre-vulnerabilidad-critica-de-alta-gravedad/

Comentarios

Publicar un comentario

Entradas populares de este blog

Google responde por qué todo el Top 10 es contenido «robado»

Imagen
Un editor del popular sitio de noticias The Verge tuiteó que un nuevo artículo había sido reemplazado en la primera página de los resultados de búsqueda de Google por otros sitios que lo copiaron. Danny Sullivan explica por qué sucede esto. El contenido de imitación que clasifica frustra a los editores El contenido de imitación que supera al original es algo con lo que los editores han expresado su frustración durante muchos años. Algunas de las quejas se deben a un malentendido. Por ejemplo, cuando una persona busca una frase sin sentido como palabras seleccionadas al azar en un artículo, Google no sabe qué hacer, no es una consulta de búsqueda real y no hay respuesta para una frase absurda. Entonces, lo que Google hace es usar una búsqueda de texto de forma predeterminada, lo que significa que Google devuelve resultados de búsqueda basados ​​en las palabras de una consulta de búsqueda que coinciden con las palabras en una página web . La prueba real de si el contenido copiado ...
Leer más

Texas Locksmiths

Using a smart key allows you to multi-control your vehicle, doing tasks such as starting the engine and locking and unlocking the doors. What's even better is that you can do all of this from afar. In addition, the device provides a superior security method for your vehicle. More information about  Emergency locksmith  can be found on our website. Carrying a lot of car keys is nearly a thing of the past, as more and more car owners choose for a smart key or intelligent key that allows them to manage their vehicle. The key is a tool that allows you to accomplish everything that traditional keys can do, such as start the car, lock and open doors, activate the alarm, and so on. Furthermore, you can perform all of this from afar, without even having to approach the car. The key's functioning range is typically between 5 and 20 metres. Have you ever wondered how your smart key can be so smart? You may have found it interesting, if not baffling, that such a small device can manage s...
Leer más

Car Key Locksmith

Unauthorized key duplication has compromised many current security systems. Even if a key has a "Do Not Duplicate" stamp on it, a non-professional key duplicator will duplicate it nevertheless. Maintenance staff, tenants, construction workers, and yes, even your employees will have no trouble obtaining a duplicate key for their personal use. For more inforation about  auto locksmith , visit our website. Even if someone has been dismissed or quit and has not returned a key, there are a few ways for keeping a protected location as it should be. To begin, replace all of the locks for which the key was used. This can take a long time, and the cost can soon build up. Second, you can employ proximity cards and readers with an access control system. This is also pricey, but you'll be able to invalidate a card without worrying about it losing its effectiveness. Finally, a number of keys are now available that can only be obtained from a specific authorised dealer. These dealers w...
Leer más