Back to top

Security Tips - Drupal publica parches para CVE-2020-36193, CVE-2020-28948 y CVE-2020-13671

Posted by Cristian Cisner... on 25-01-2021

Descripción

Se han detectado diferentes vulnerabilidades que afectan a las siguientes versiones anteriores de Drupal: 

  • 9.1.3 (para usuarios de Drupal 9.1).
  • 9.0.11 (para usuarios de Drupal 9.0).
  • 8.9.13 (para usuarios de Drupal 8.9).
  • 7.78 (para usuarios de Drupal 7).

Las vulnerabilidades detectadas son las siguientes:

  • CVE-2020-36193: causado por un bug en la biblioteca PEAR Archive_Tar utilizada por el CMS. El fallo provoca vulnerabilidades de "out-of-path " a través de operaciones de escritura con Directory Traversal debido a un checkeo inadecuado de los "symbolic links". La explotación exitosa requiere el acceso a cuentas de usuario con permisos básicos en servidores con configuraciones de módulos poco comunes. La explotación de la vulnerabilidad de Drupal sólo es posible si el CMS está configurado para permitir y procesar cargas/subidas de archivos .tar, .tar.gz, .bz2 o .tlz. Tras la explotación, los atacantes pueden modificar o eliminar todos los datos y también pueden obtener acceso a todos los datos no públicos disponibles en el servidor comprometido.
  • CVE-2020-28948: es un fallo de seguridad crítico, con exploits conocidos, en la biblioteca PEAR Archive_Tar que podría permitir la ejecución arbitraria de código PHP en algunas versiones del CMS.
  • CVE-2020-13671: vulnerabilidad crítica de ejecución remota de código que permite a los atacantes ejecutar código malicioso en servidores vulnerables debido a la incorrecta sanitización de los nombres de los archivos subidos.

 

Solución

Si no se pueden desplegar inmediatamente la actualización de seguridad en los servidores Drupal, se aconseja:

  • Deshabilitar la carga de archivos .tar, .tar.gz, .bz2 o .tlz.
  • Prestar atención a las siguientes extensiones de archivo, que deben considerarse peligrosas, incluso cuando van seguidas de una o más extensiones adicionales: phar, PHP, pl, py, cgi, asp, js, HTML, htm y phtml.

Esta lista no es exhaustiva, así que se deben evaluar también los problemas de seguridad de otras extensiones no inmunizadas. La solución definitiva a las vulnerabilidades es actualizar Drupal a las siguientes versiones:

  • 9.1.3 (para usuarios de Drupal 9.1).
  • 9.0.11 (para usuarios de Drupal 9.0).
  • 8.9.13 (para usuarios de Drupal 8.9) (las versiones de Drupal 8 anteriores a 8.9.X están a final de su vida útil y no reciben coberturas de seguridad).
  • 7.78 (para usuarios de Drupal 7).

 

Referencias

 

¿Necesitas más información?

En Basetis tenemos una amplia experiencia en la creación de entornos seguros para minimizar riesgos y posibles vulnerabilidades en tu organización. ¡No dudes en contactarnos!

Contacta con Basetis

+1
1


0 Comments

No comments yet, but you can add yours!