Avis du CERT-FR
Objet : Multiples vulnérabilités dans Drupal
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Contournement de la politique de sécurité
- Injection de requêtes illégitimes par rebond (CSRF)
Systèmes affectés
- Drupal versions 6.x antérieures à 6.23 ;
- Drupal versions 7.x antérieures à 7.11.
Résumé
De multiples vulnérabilités dans Drupal permettent de contourner des restrictions d'accès à des fichiers, de modifier des informations d'utilisateur et d'injecter illégitimement des requêtes par rebond.
Description
De multiples vulnérabilités ont été découvertes dans Drupal :
- OpenId ne vérifie pas si certains attributs sont signés, ce qui permet de modifier les informations des utilisateurs (CVE-2012-0825) ;
- des injections de requêtes illégitimes par rebond sont possibles via le module Aggregator. Dans certains cas, l'exploitation de cette vulnérabilité permet de réaliser un déni de service (CVE-2012-0826) ;
- sous certaines conditions, des utilisateurs peuvent télécharger indûment des fichiers via le module File. Ce problème n'affecte que les versions 7.x de Drupal (CVE-2012-0827).
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Drupal SA-CORE-2012-001 du 01 février 2012 :
http://drupal.org/node/1425084 -
Référence CVE CVE-2012-0825
https://www.cve.org/CVERecord?id=CVE-2012-0825 -
Référence CVE CVE-2012-0826
https://www.cve.org/CVERecord?id=CVE-2012-0826 -
Référence CVE CVE-2012-0827
https://www.cve.org/CVERecord?id=CVE-2012-0827
Gestion détaillée du document
| Date | Description |
|---|---|
| 03 février 2012 | version initiale. |