- Consultatif ID: DRUPAL-SA-2010-002-CORE
- Projet: Drupal
- Version: 5.x, 6.x
- Date: 11-août-2010
- des risques de sécurité: Critique
- Exploitable à partir de: à distance
- Vulnérabilité: multiples vulnérabilités
Description
Plusieurs vulnérabilités et les faiblesses ont été découvertes dans Drupal.
contournement de l’authentification OpenID
Le module OpenID Fournit aux utilisateurs la possibilité de se connecter à des sites en utilisant un compte OpenID.
Le module OpenID n’implémente pas toutes les vérifications nécessaires du protocole OpenID 2.0 et est vulnérable à un certain nombre d’attaques.
Plus précisément:
– Si OpenID pour vérifier que "openid.response_nonce" a pas encore été utilisé pour l’affirmation par le fournisseur OpenID
– Si OpenID vérifier la valeur de openid.return_to obtenues à partir du fournisseur OpenID
– OpenID Que doit vérifier tous les champs qui doivent être signés sont signés
Ces violations spécification permettre à des sites malveillants aux affirmations de la récolte positive auprès de fournisseurs OpenID et de les utiliser sur les sites OpenID en utilisant le module d’accès Obtenir des comptes préexistants liés à l’OpenID récoltés. Intercepté également les affirmations des fournisseurs OpenID peut être rejoué et utilisé pour Obtenir l’accès aux comptes d’utilisateur lié à l’OpenID intercepté.
Cela affecte émission Drupal 6.x uniquement. Un distincts annonce de sécurité et communiqué est publié pour le module OpenID Apportées pour Drupal 5.x
Fichier de dérivation d’accès au téléchargement
Le module d’upload Permet aux utilisateurs de télécharger des fichiers et la vérification Fournit l’accès pour des téléchargements de fichiers.
Le module examine les fichiers à télécharger dans la base de données et de télécharger après leur sert de contrôle d’accès. Toutefois, il ne tient pas compte du fait que les configurations de base de données Certains ne seront pas compte des différences dans les appartements des noms de fichiers. Si un utilisateur malveillant télécharge un fichier qui ne diffère que dans le cas où la lettre, l’accès sera accordé pour le début de télécharger des fichiers indépendamment de l’accès effectif à ce sujet.
Ce problème affecte Drupal 5.x et 6.x.
Commentaire dépublier bypass
Le module de commentaire Permet aux utilisateurs de laisser des commentaires sur le contenu du site.
Les supports de module dépublier commentaires des utilisateurs privilégiés. Utilisateurs avec les commentaires du billet "sans autorisation d’approbation« Toutefois pourrait créer une URL qui leur permet de publier des commentaires inédits.
Ce problème affecte Drupal 5.x et 6.x.
Actions par cross site scripting
La fonctionnalité combinée avec des actions de Drupal module de déclenchement Permet aux utilisateurs de configurer des actions Un certain de se produire lorsque l’utilisateur s’enregistre, le contenu est soumis, et ainsi de suite, à travers une interface web.
Utilisateur avec "actions autorisation Administrer" peut entrer des descriptions d’action qui ne sont pas correctement les messages filtrés à la sortie. Les utilisateurs ayant les autorisations de contenu et de la taxonomie présentation tag peut créer des n?uds et des termes de taxonomie qui ne sont pas correctement filtrées pour l’inclusion dans les messages d’action et d’injecter du code HTML et script dans les pages Drupal. Une telle attaque cross-site scripting plomb à l’obtention de l’accès utilisateur malveillant administratives mai. Wikipedia a plus d’informations sur cross-site scripting (XSS).
Cela affecte émission Drupal 6.x uniquement.
Versions affectées
- Drupal 6.x avant la version 6,18 ou 6,19.
- Drupal 5.x avant la version 5.23.
Solution
Installez la dernière version:
- Si vous utilisez Drupal 6.x, puis mise à niveau vers Drupal 6,18 ou 6,19 Drupal .
- Si vous utilisez Drupal 5.x puis vers Drupal 5.23 .
Drupal 5 ne sera plus maintenu Lorsque Drupal 7 est sorti . Mise à niveau vers Drupal 6 est recommandé.
L’équipe de sécurité commence une nouvelle pratique de libérer les deux également à d’autres corrections de bugs et mises à jour de sécurité sans mise à jour de sécurité combinés avec les autres corrections de bogues et améliorations. Soit vous pouvez choisir de n’inclure que la mise à jour de sécurité pour un correctif immédiat (ce qui pourrait nécessiter moins d’essais et d’assurance qualité) ou plusieurs corrections et améliorations aux côtés des correctifs de sécurité en choisissant Drupal Entre 6,18 et 6,19 Drupal. Lisez l’annonce pour plus d’informations.
Signalé par
L’authentification OpenID questions de dérivation ont été signalés par Johnny Bufu , Christian Schmidt et Heine Deelstra (*).
L’accès contourner télécharger le fichier a été signalée par Wolfgang Ziegler .
Le by-pass question dépublier commentaire a été rapporté par Heine Deelstra (*).
Les actions du module cross-site scripting a été rapporté par Justin Klein Keane et Heine Deelstra (*).
(*) Membre de l’équipe de sécurité Drupal.
Fixé par le
Ont été les problèmes d’authentification OpenID fixé par Christian Schmidt , Heine Deelstra (*) et Damien Tournoud (*).
L’accès contourner télécharger le fichier a été fixé par Dave Reid (*) et Neil Drumm (*).
Le by-pass question dépublier commentaire a été fixé par Heine Deelstra (*).
Les actions du module cross-site scripting a été fixé par Justin Klein Keane et Heine Deelstra (*).
(*) Membre de l’équipe de sécurité Drupal.
Contact
L’équipe de sécurité pour Drupal peut être atteint à la sécurité au drupal.org ou via le formulaire à http://drupal.org/contact .