Actualizaciones de seguridad Drupal

Actualizaciones de seguridad Drupal
Drupal Versiones 7.24 y 6.29, versiones de mantenimiento que contienen correcciones de vulnerabilidades de seguridad.
Debido a problemas de seguridad críticos se recomienda encarecidamente que se actualice a las ultimas versiones de Drupal.

Vulnerabilidades

El formulario API de Drupal ha incorporado la validación (CSRF) Cross-site request forgery o falsificación de petición en sitios cruzados

Las funciones de validación de formulario pueden realizar operaciones inseguras. Dado que la protección CSRF es una validación de especial importancia, la API que forma núcleo de Drupal se ha cambiado en esta versión lo que ahora saltara la validación si CSRF falla.


Múltiples vulnerabilidades debido a la debilidad en la generación de números pseudo-aleatorios

El núcleo de Drupal utiliza directamente el mt_rand () para generar números pseudo-aleatorios que forman cadenas relacionadas con la seguridad se utilizan en varios módulos básicos. Se encontró que las herramientas de fuerza bruta podrían determinar las semillas que hacen estas cadenas predecible bajo ciertas circunstancias.

Esta vulnerabilidad no tiene mitigación, todos los sitios Drupal se ven afectados hasta que se haya aplicado la actualización de seguridad.


Vulnerabilidad de validación de token de seguridad

Drupal utiliza la función drupal_valid_token function () que puede devolver true en algunos casos

Esta vulnerabilidad es mitigada gracias al cambio de la función drupal_validate_token() y pasándole como argumento una cadena que no puede ser modificada por un atacante.


Vulnerabilidad en el modulo de imagen de Drupal

Esta vulnerabilidad es debida a que la descripción de las  imágenes no se depuran antes de generar el código HTML de la pagina. Por lo que expone a la vulnerabilidad de scripting entre sitios(Cross-site scripting)

Esta vulnerabilidad se ve mitigada por el hecho de que un atacante debe tener permiso para administrar descripciones de los campos


Vulnerabilidad en el modulo de color

Un atacante malintencionado podría engañar a un usuario administrativo autenticado para que visite una página que contiene JavaScript específica que podría llevar a un ataque de cross-site scripting realizado a través de la ejecución de JavaScript en CSS.

Esta vulnerabilidad se ve mitigada por el hecho de que sólo puede tener lugar en los navegadores más antiguos, y en un conjunto restringido de los navegadores modernos, es decir, El ópera a través de la interacción del usuario, y en Internet Explorer, bajo ciertas condiciones.


Vulnerabilidad de redirección

El módulo Overlay muestra las páginas administrativas en forma de capa sobre la página actual (usando JavaScript), en lugar de sustituir la página en la ventana del navegador. El módulo de superposición no valida de forma suficiente las direcciones URL antes de mostrar su contenido, lo que lleva a una vulnerabilidad redirección.

Esta vulnerabilidad se ve mitigado por el hecho de que sólo se puede utilizar contra los usuarios del sitio que tienen el «Acceso a la superposición administrativa» permitido.


Defensa Profunda

Drupal intenta agregar una «defensa en profundidad»  para evitar la ejecución de scripts, mediante la colocación de un archivo htaccess. Esta protección sólo es necesario si existe una vulnerabilidad en el sitio o en un servidor que permite a los usuarios subir archivos maliciosos.

Si va a actualizar un sitio y el sitio está a cargo de Apache debe corregir el archivo de forma manual, como se describe a continuación

Para la versión 6.x
# Turn off all options we don’t need.
Options None
Options +FollowSymLinks

# Set the catch-all handler to prevent scripts from being executed.
SetHandler Drupal_Security_Do_Not_Remove_See_SA_2006_006
<Files *>
# Override the handler again if we’re run later in the evaluation list.
SetHandler Drupal_Security_Do_Not_Remove_See_SA_2013_003
</Files>

# If we know how to do it safely, disable the PHP engine entirely.
<IfModule mod_php5.c>
php_flag engine off
</IfModule>
# PHP 4, Apache 1.
<IfModule mod_php4.c>
php_flag engine off
</IfModule>
# PHP 4, Apache 2.
<IfModule sapi_apache2.c>
php_flag engine off
</IfModule>

 Para la versión 7.x
# Turn off all options we don’t need.
Options None
Options +FollowSymLinks# Set the catch-all handler to prevent scripts from being executed.
SetHandler Drupal_Security_Do_Not_Remove_See_SA_2006_006
<Files *>
# Override the handler again if we’re run later in the evaluation list.
SetHandler Drupal_Security_Do_Not_Remove_See_SA_2013_003
</Files># If we know how to do it safely, disable the PHP engine entirely.
<IfModule mod_php5.c>
php_flag engine off
</IfModule>
¿te ha resultado interesante?
[Votos: 0 Promedio: 0]