Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans Drupal

Gestion du document

Référence	CERTA-2012-AVI-755
Titre	Multiples vulnérabilités dans Drupal
Date de la première version	21 décembre 2012
Date de la dernière version	21 décembre 2012
Source(s)	Bulletin de sécurité Drupal SA-CORE-2012-004 du 19 décembre 2012

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Contournement de la politique de sécurité
Exécution de code arbitraire à distance

Systèmes affectés

versions antérieures à Drupal 6.27
Versions antérieures à Drupal 7.18 (pour la branche 7)

Résumé

Trois vulnérabilités ont été corrigées dans Drupal. Deux permettent de contourner les politiques de sécurités dans le module de recherche et le module d'envoi de fichier. La dernière permet une exécution de code arbitraire à distance en envoyant un fichier spécialement conçu.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité SA-CORE-2012-004 du 19 décembre 2012 :
http://drupal.org/SA-CORE-2012-004
Référence CVE CVE-2012-5651
https://www.cve.org/CVERecord?id=CVE-2012-5651
Référence CVE CVE-2012-5652
https://www.cve.org/CVERecord?id=CVE-2012-5652
Référence CVE CVE-2012-5653
https://www.cve.org/CVERecord?id=CVE-2012-5653

Gestion détaillée du document

Date	Description
21 décembre 2012	version initiale.