Cinco horas después de que el equipo de Drupal publicara una actualización de seguridad para el CMS de Drupal, los piratas informáticos encontraron una manera de armar la vulnerabilidad parcheada y la están explotando activamente en la naturaleza.
Esta vulnerabilidad no debe confundirse con Drupalgeddon 2 (CVE-2018-7600), otro problema de seguridad de Drupal CMS parcheado el mes pasado, que también está muy explotado. Este problema, identificado como CVE-2018-7602, se solucionó hoy.
A diferencia del caso de Drupalgeddon 2, donde los piratas informáticos comenzaron a explotarlo después de dos semanas, esta vez comenzaron a explotar CVE-2018-7602 de inmediato. El equipo de seguridad de Drupal informó haber detectado ataques cinco horas después de que se lanzó un parche.
El equipo de seguridad es consciente de que SA-CORE-2018-004 se explota de forma salvaje. Si no ha actualizado, por favor hágalo ahora. https://t.co/TVGob2IXvL
— Drupal Security (@drupalsecurity) 25 de abril de 2018
El equipo de Drupal sospecha que CVE-2018-7602 causará problemas
El equipo de Drupal era consciente de que esta falla podría tener serias repercusiones y lanzó un anuncio de servicio público el lunes con respecto al próximo parche de hoy.
El anuncio de servicio público tenía la intención de proporcionar una advertencia previa a los propietarios de sitios web, ya que el equipo de Drupal consideró que había «algún riesgo de que se desarrollaran exploits en cuestión de horas o días».
Lo que el equipo de Drupal temía finalmente sucedió, y los piratas informáticos comenzaron a explotar CVE-2018-7602 en cuestión de horas, antes de que muchos propietarios de sitios web tuvieran la oportunidad de arreglar sus sitios.
CVE-2018-7602 es la descendencia de Drupalgeddon2
La falla que están explotando es un error de ejecución remota de código (RCE) que afecta a las versiones de Drupal 7.x y 8.x. La vulnerabilidad tiene una calificación de 20 de 25 en la escala de gravedad de Drupal, lo que significa que puede dar a los atacantes control total sobre un sitio atacado.
Los desarrolladores de Drupal dijeron que descubrieron CVE-2018-7602 mientras investigaban la vulnerabilidad anterior en Drupalgeddon 2, y están conectados.
Los dos defectos están relacionados con la forma en que Drupal maneja el carácter «#» utilizado en sus URL y la falta de saneamiento de entrada aplicado a los parámetros proporcionados a través del carácter «#».
SA-CORE-2018-004 #drupalgeddon3 #cve-2018-7602 #drupal Existe debido a que el parámetro de solicitud GET de «destino» acepta una URL (junto con sus parámetros GET) que no se filtra con la función stripDangerousValues(), esta función es responsable para filtrar el carácter «#».
— Rastas (@_dreadlocked) 25 de abril de 2018
El equipo de Drupal lanzó Drupal v7.59, v8.4.8 y v8.5.3 para corregir CVE-2018-7602.
Siete horas después del parche y dos horas después de que se informaran los primeros ataques, un usuario llamado Blaklis también publicó un código de prueba de concepto armado para CVE-2018-7602 en Pastebin.
La publicación de este código facilitará aún más que los atacantes comprometan los sitios de Drupal. Podemos esperar ataques similares a los intentos de explotación de Drupalgeddon 2: puertas traseras, mineros de monedas, ransomware basado en la web, redireccionamientos de estafas de soporte técnico y un montón de horribles desfiguraciones.
Algunos usuarios se refieren francamente a este error como Drupalgeddon 3.
