- Beratende ID: Drupal-SA-2010-002-CORE
- Projekt: Drupal Core
- Version: 5.x, 6.x
- Datum: 11-August-2010
- Sicherheitsrisiko: Kritische
- Ausnutzbar aus: Remote
- Sicherheitslücke: Mehrere Schwachstellen
Beschreibung
Mehrere Schwachstellen und Mängel wurden in Drupal entdeckt.
OpenID Authentifizierung zu umgehen
Die OpenID-Modul bietet Benutzern die Möglichkeit, auf Websites mit einem OpenID-Konto anmelden.
Die OpenID-Modul implementiert nicht alle erforderlichen Nachweise aus der OpenID 2.0 Protokoll und ist anfällig für eine Reihe von Anschlägen.
Im Einzelnen:
– Sicherstellen, dass "openid.response_nonce" OpenID Sollte nicht bereits für eine Behauptung wurde von der OpenID-Provider verwendet
– Sollte OpenID überprüfen den Wert openid.return_to ab dem OpenID Provider Gewonnen
– OpenID, dass alle Felder, die zum unterzeichnet sind unterschrieben werden überprüfen müssen,
Diese Spezifikation Verstöße erlauben bösartige Websites zu ernten positive Aussagen von OpenID-Provider und sie auf OpenID Sites mit Hilfe des Moduls erhalten Sie Zugriff auf Konten Vorbestehende verpflichtet, die geerntet OpenIDs. Auch abgefangen Behauptungen von OpenID-Provider können wiedergegeben und verwendet werden, erhalten Sie Zugriff auf Benutzerkonten verpflichtet, die abgefangen OpenIDs.
Dieses Problem betrifft nur Drupal 6.x. Eine gesonderte Ankündigung Sicherheit und Release ist für den 5.x veröffentlicht Bereitgestellt OpenID Modul für Drupal
Datei herunterladen Zugang Bypass
Der Upload-Modul erlaubt es Benutzern, Dateien und ermöglicht den Zugriff Prüfung für Dateidownloads hochzuladen.
Das Modul sucht Dateien zum Download in der Datenbank und laden nach dient ihnen für den Zugang Kontrolle. Allerdings ist es nicht machen, dass bestimmte Datenbank-Konfigurationen werden nicht verändern Wohnungen Unterschiede in Dateinamen. Wenn ein böswilliger Benutzer eine Datei-Uploads, die nur in Groß-und Kleinschreibung unterscheidet, wird der Zugang für die frühere Dateien hochladen unabhängig von den tatsächlichen Zugang zu diesen gewährt werden.
Dieses Problem betrifft Drupal 5.x und 6.x
Kommentar Unpublishing Bypass
Der Kommentar-Modul können Anwender Kommentare zu Inhalt auf der Website zu verlassen.
Das Modul unterstützt Unpublishing Kommentare von privilegierten Benutzern. Benutzer mit der "post comments ohne Genehmigung die Erlaubnis konnte jedoch eine URL, die sie auf bisher unveröffentlichte Kommentare veröffentlichen Ermöglicht Handwerk.
Dieses Problem betrifft Drupal 5.x und 6.x
Aktionen Cross Site Scripting
Das Feature mit Drupal Aktionen kombiniert Trigger-Modul können Anwender Un certain Aktionen konfigurieren, wenn die Benutzer registrieren, ist der Inhalt eingereicht, und so weiter, über einen Web-basierte Schnittstelle.
Benutzer mit "Verwalten Erlaubnis Aktionen" können Sie Klage Beschreibungen und welche nicht richtig gefiltert Nachrichten auf Ausgang. Benutzer mit Inhalt und Taxonomie Begriffe Vorlage Berechtigungen können Knoten und Taxonomie-Begriffe, die nicht richtig für die Aufnahme in Aktion Meldungen werden desinfiziert und injizieren beliebigen HTML-und Script-Code in Drupal-Seiten. Ein solches Cross-Site-Scripting-Angriff kann zu gewinnen der böswillige Benutzer Administrator-Zugriff. Wikipedia hat mehr Informationen über Cross-Site Scripting (XSS).
Dieses Problem betrifft nur Drupal 6.x.
Versionen betroffen
- Drupal 6.x vor Version 6,18 oder 6.19.
- Drupal 5.x vor Version 5.23.
Solution
Installieren Sie die neueste Version:
- Wenn Sie 6.x laufen Drupal Upgrade Drupal 6,18 oder 6,19 Drupal .
- Wenn Sie 5.x laufen Drupal Upgrade Drupal 5,23 .
Drupal 5 wird nicht mehr gepflegt werden Bei Drupal 7 freigegeben wird . Upgrade auf Drupal 6 wird empfohlen.
Das Sicherheits-Team startet eine neue Praxis der Freigabe Beide auch auf andere Bugfixes und Sicherheits-Updates ohne Sicherheit mit anderen Verbesserungen und Bugfixes kombiniert aktualisieren. Entweder Sie können wählen, ob nur die Sicherheits-Update für eine sofortige Korrektur oder mehrere Fehlerbehebungen und Verbesserungen neben den Sicherheitsupdates, indem Sie Drupal 6.18 und Drupal Zwischen 6.19 (Welche benötigen weniger Tests und Qualitätssicherung Might). Lesen Sie die Ankündigung für weitere Informationen.
Berichtet von
Die OpenID Authentifizierung zu umgehen Probleme wurden durch ausgewiesene Johnny Bufu , Christian Schmidt und Heine Deelstra (*).
Die Datei herunterzuladen Zugang Bypass wurde berichtet, von Wolfgang Ziegler .
Der Kommentar unveröffentlichen Bypass Problem wurde durch ausgewiesene Heine Deelstra (*).
Die Aktionen Modul Cross-Site Scripting Wurde von Gemeldete Justin Klein Keane und Heine Deelstra (*).
(*) Mitglied der Drupal Security Team.
Behoben durch
Waren die OpenID Authentifizierung Fragen durch feste Christian Schmidt , Heine Deelstra (*) und Damien Tournoud (*).
Die Datei herunterzuladen Zugang Bypass wurde durch feste Dave Reid (*) und Neil Drumm (*).
Der Kommentar unveröffentlichen Bypass Problem wurde durch feste Heine Deelstra (*).
Die Aktionen Modul Cross-Site Scripting fixiert durch War Justin Klein Keane und Heine Deelstra (*).
(*) Mitglied der Drupal Security Team.
Kontakt
Das Sicherheits-Team für Drupal können Form erreicht, an Sicherheit bei drupal.org oder über die http://drupal.org/contact .