CSIRT Panamá Aviso 2014-11- Vulnerabilidad de Secuestro de Sesión y DoS en Drupal (CVE-2014-9015 | CVE-2014-9015)
Gravedad: ALTA
Fecha de publicación: Noviembre 20, 2014
Fecha de modificación: Noviembre 20, 2014
Última revisión: Revisión A.
Fuente: Aviso de Seguridad de Drupal (SA-CORE-2014-006)
Sistemas afectados
Drupal 6.x anteriores a la versión 6.34
Drupal 7.x anteriores a la versión 7.34
I. Descripción
Se ha descubierto una vulnerabilidad de secuestro de sesión que afecta a las versiones de Drupal 6 y Drupal 7 y otra vulnerabilidad de denegación de servicio que solo afecta a las versiones de Drupal 7 anteriores a la versión 7.34.
Secuestro de sesión Drupal 6 y Drupal 7
A través de una petición especialmente manipulada una sesión de usuario puede dar acceso a otra sesión de usuario, permitiendo el secuestro de sesión. Este ataque es posible en sitios que sirven contenidos con HTTP y HTTPS. Es posible que existan otros vectores de ataque.
Negación de Servicios Drupal 7
Drupal 7 incluye una API para codificar las contraseñas para no almacenarlas en texto plano. Se ha encontrado una vulnerabilidad en este API que permite al atacante enviar peticiones especialmente manipuladas; agotando la CPU y la memoria del servidor.
II. Impacto
Vector de acceso: A través de la red.
Complejidad de Acceso: Media
Autenticación: No requerida
Tipo de impacto: Compromiso total de la integridad del sistema, Compromiso total de la disponibilidad del sistema, Compromiso total de la confidencialidad del sistema
III. Mitigación
Actualizar el software
CSIRT Panamá recomienda a los administradores revisar el aviso de seguridad SA-CORE-2014-006 [1] y aplicar las actualizaciones necesarias.
IV. Referencias
[1] SA-CORE-2014-006 – https://www.drupal.org/SA-CORE-2014-006
IV. Información de contacto
CSIRT PANAMA
Autoridad Nacional para la Innovación Gubernamental
E-Mail: info@cert.pa
Web: https://www.cert.pa
—–BEGIN PGP PUBLIC KEY BLOCK—–
Version: GnuPG v2.0.17 (MingW32)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=JUYg
—–END PGP PUBLIC KEY BLOCK—–