Drupal soluciona varias vulnerabilidades que afectan al core ¡Actualiza!

Fecha de publicación: 16/09/2021

Importancia:
Media

Recursos afectados:

Las siguientes versiones de Drupal anteriores a:

• Drupal 9.2,
• Drupal 9.1,
• Drupal 8.9.

Descripción:

Se han detectado cinco vulnerabilidades que afectan al core de varias versiones de Drupal. Estas vulnerabilidades podrían permitir a un ciberdelincuente realizar un ataque XSS (cross-site scripting), afectar a la integridad del sistema, evadir la validación al subir archivos, revelar información y omitir las restricciones de acceso.

Solución:

Se recomienda actualizar Drupal a la última versión disponible, para ello puedes acceder a los siguientes enlaces:

• Si utilizas Drupal 9.2, actualiza a Drupal 9.2.6.
• Si utilizas Drupal 9.1, actualiza a Drupal 9.1.13.
• Si utilizas Drupal 8.9, actualiza a Drupal 8.9.19.

Las versiones anteriores a la 8.9.x y versiones anteriores a 9.1.x no reciben actualizaciones de seguridad por estar descontinuadas.

Es importante proteger el gestor de contenidos para evitar que sea vulnerable. Sigue este checklist para evitar posibles ataques de ciberdelincuentes, algunos de ellos explicados en casos reales:

• ¿Humano o bot? Protege tu web con sistemas captcha
• Celebra el Día Mundial de las Contraseñas, la puerta de entrada a todos tus servicios
• Qué es una DMZ y cómo te puede ayudar a proteger tu empresa
• Historias reales: web segura cumpliendo la ley
• 5 razones para hacer copias de seguridad de tu web

¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de Twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También puedes contactar con Tu Ayuda en Ciberseguridad de INCIBE en la Línea de Ayuda 017, a través de los canales de mensajería instantánea en WhatsApp (900 116 117) y Telegram (@INCIBE017) o mediante el formulario web.

Detalle:

Drupal ha corregido 5 vulnerabilidades que afectan al core:

• El módulo Media del núcleo de Drupal permite incrustar medios internos y externos en los campos de contenido. En determinadas circunstancias, el filtro podría permitir a un usuario sin privilegios inyectar HTML en una página cuando a esta accede un usuario de confianza con permiso para incrustar medios. En algunos casos, esto podría dar lugar a cross-site scripting.
• El módulo QuickEdit no valida correctamente el acceso a las rutas, lo que podría permitir Cross Site Request Forgery en algunas circunstancias y dar lugar a posibles problemas de integridad de los datos.
• Los módulos JSON:API y REST/File de Drupal permiten subir archivos a través de sus APIs HTTP. Los módulos no ejecutan correctamente toda la validación de archivos, lo que provoca una vulnerabilidad de omisión de acceso. Un atacante podría ser capaz de subir archivos que se salten el proceso de validación de archivos implementado por los módulos en el sitio.
• El módulo QuickEdit no verifica correctamente el acceso a los campos en algunas circunstancias, lo que puede dar lugar a la divulgación involuntaria de los datos de los campos.
• En algunas circunstancias, el módulo JSON:API del núcleo de Drupal no restringe adecuadamente el acceso a determinados contenidos, lo que puede dar lugar a una omisión de acceso no deseada.

Tu soporte técnico puede consultar una solución más detallada en el área de avisos de INCIBE-CERT.

Etiquetas:
Actualización, CMS, Vulnerabilidad