Drupal ha publicado dos avisos de seguridad que advierten sobre una vulnerabilidad que afecta a varias versiones de Drupal y que podría permitir que un atacante acceda a información confidencial.
Dos vulnerabilidades afectan actualmente a Drupal. Una está clasificada como una vulnerabilidad crítica de alta gravedad.
Vulnerabilidad en biblioteca de terceros
Drupal utiliza un motor de plantillas de terceros llamado Twig.
Según la documentación de Drupal:
«Cuando se muestra su página web, el motor Twig toma la plantilla y la convierte en una plantilla PHP ‘compilada’ que se almacena en un directorio protegido…»
Drupal utiliza la biblioteca Twig para la creación de plantillas, pero también para un proceso llamado sanitización, que es una forma de evitar que se descarguen archivos maliciosos.
Twig describe las vulnerabilidades como aquellas que permiten a un atacante usar el cargador del sistema de archivos para acceder a archivos confidenciales.
Drupal advierte:
«Son posibles varias vulnerabilidades si un usuario que no es de confianza tiene acceso para escribir código Twig, incluido el posible acceso de lectura no autorizado a archivos privados, el contenido de
otros archivos en el servidor o las credenciales de la base de datos. »
Esta vulnerabilidad afecta a los usuarios de Drupal 9.3 y 9.4.
Plan de acción recomendado para mitigar la vulnerabilidad
Se recomienda que los usuarios de Drupal 9.3 actualicen a 9.3.22.
Se recomienda a los usuarios de Drupal 9.4 que actualicen a 9.4.7.
Vulnerabilidad moderada
Drupal también advirtió sobre una vulnerabilidad de omisión de acceso calificada como moderada que afecta a los editores que utilizan el módulo S3 File System para Drupal 7.x.
Una vulnerabilidad de omisión de acceso es una vulnerabilidad en la que un atacante puede eludir las barreras de autenticación y obtener acceso a una aplicación y archivos confidenciales que no debería.
de lo contrario tener acceso a.
La vulnerabilidad se describe de la siguiente manera:
«El módulo no evita suficientemente el acceso a archivos en múltiples esquemas de sistemas de archivos almacenados en el mismo depósito».
El aviso señala que esta vulnerabilidad se mitiga mediante varios pasos que deben seguirse antes de que un atacante pueda obtener acceso.
La reseña explica:
«Esta vulnerabilidad se ve mitigada por el hecho de que un atacante debe obtener un método para acceder a rutas de archivos arbitrarias, el sitio debe tener habilitada una toma de control pública o privada, y se debe omitir la memoria caché de metadatos del archivo».
Curso de acción recomendado
Se recomienda a los usuarios de Drupal que utilizan el módulo S3 File System para Drupal 7.x que actualicen a S3 File System 7.x-2.14 para corregir la vulnerabilidad.
Cotizaciones
Drupal Core – Crítico – Múltiples Vulnerabilidades – SA-CORE-2022-016
Sistema de archivos S3: moderadamente crítico: omisión de acceso: SA-CONTRIB-2022-057
Versión de seguridad de Twig: capacidad de cargar un modelo fuera de un directorio configurado cuando se usa el cargador del sistema de archivos
Imagen destacada de Shutterstock/Andrey_Popov
