Avis du CERT-FR
Objet : Multiples vulnérabilités dans Drupal core
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
Systèmes affectés
- Drupal 9.x versions antérieures à 9.0.9
- Drupal 8.9.x versions antérieures à 8.9.10
- Drupal 8.8.x versions antérieures à 8.8.12
- Drupal 7.x versions antérieures à 7.75
L'éditeur ne maintient plus les versions 8 antérieures à 8.8.x. Les utilisateurs d'une version obsolète doivent préalablement mettre à jour Drupal pour bénéficier des correctifs de sécurité.
Résumé
De multiples vulnérabilités ont été découvertes dans Drupal core. Elles permettent à un attaquant de provoquer une atteinte à l'intégrité des données et une atteinte à la confidentialité des données.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Contournement provisoire
L'éditeur propose comme mesure de contournement pour ces vulnérabilités de limiter aux utilisateurs de confiance le téléchargement des fichiers .tar, .tar.gz, .bz2 et .tlz.
Documentation
-
Bulletin de sécurité Drupal sa-core-2020-013 du 25 novembre 2020
https://www.drupal.org/sa-core-2020-013 -
Référence CVE CVE-2020-28948
https://www.cve.org/CVERecord?id=CVE-2020-28948 -
Référence CVE CVE-2020-28949
https://www.cve.org/CVERecord?id=CVE-2020-28949
Gestion détaillée du document
| Date | Description |
|---|---|
| 26 novembre 2020 | Version initiale |
| 27 novembre 2020 | Ajout de la mesure de contournement |