CSIRT Panam\u00e1 Aviso 2014-11- Vulnerabilidad de Secuestro de Sesi\u00f3n y DoS en Drupal (CVE-2014-9015 | CVE-2014-9015)
\nGravedad: ALTA
\nFecha de publicaci\u00f3n: Noviembre 20, 2014
\nFecha de modificaci\u00f3n: Noviembre 20, 2014
\n\u00daltima revisi\u00f3n: Revisi\u00f3n A.
\nFuente: Aviso de Seguridad de Drupal (SA-CORE-2014-006)
\nSistemas afectados
\nDrupal 6.x anteriores a la versi\u00f3n 6.34
\nDrupal 7.x anteriores a la versi\u00f3n 7.34<\/p>\n
I. Descripci\u00f3n
\nSe ha descubierto una vulnerabilidad de secuestro de sesi\u00f3n que afecta a las versiones de Drupal 6 y Drupal 7 y otra vulnerabilidad de denegaci\u00f3n de servicio que solo afecta a las versiones de Drupal 7 anteriores a la versi\u00f3n 7.34.
\nSecuestro de sesi\u00f3n Drupal 6 y Drupal 7
\nA trav\u00e9s de una petici\u00f3n especialmente manipulada una sesi\u00f3n de usuario puede dar acceso a otra sesi\u00f3n de usuario, permitiendo el secuestro de sesi\u00f3n. Este ataque es posible en sitios que sirven contenidos con HTTP y HTTPS. Es posible que existan otros vectores de ataque.
\nNegaci\u00f3n de Servicios Drupal 7
\nDrupal 7 incluye una API para codificar las contrase\u00f1as para no almacenarlas en texto plano. Se ha encontrado una vulnerabilidad en este API que permite al atacante enviar peticiones especialmente manipuladas; agotando la CPU y la memoria del servidor.<\/p>\n
II. Impacto
\nVector de acceso: A trav\u00e9s de la red.
\nComplejidad de Acceso: Media
\nAutenticaci\u00f3n: No requerida
\nTipo de impacto: Compromiso total de la integridad del sistema, Compromiso total de la disponibilidad del sistema, Compromiso total de la confidencialidad del sistema<\/p>\n
III. Mitigaci\u00f3n
\nActualizar el software<\/p>\n
CSIRT Panam\u00e1 recomienda a los administradores revisar el aviso de seguridad SA-CORE-2014-006 [1] y aplicar las actualizaciones necesarias.<\/p>\n
IV. Referencias
\n[1] SA-CORE-2014-006 – https:\/\/www.drupal.org\/SA-CORE-2014-006<\/p>\n
IV. Informaci\u00f3n de contacto
\nCSIRT PANAMA
\nAutoridad Nacional para la Innovaci\u00f3n Gubernamental
\nE-Mail: info@cert.pa
\nWeb: https:\/\/www.cert.pa<\/p>\n
—–BEGIN PGP PUBLIC KEY BLOCK—–
\nVersion: GnuPG v2.0.17 (MingW32)<\/p>\n
mQENBE8C9KoBCAClkvrtdD08B1YgIntnK241GmWY7fRWtPn\/QIEG1+TLokEuOhw+
\nGq\/lK\/4NP9RzqpD57LcRUBiGgTmO\/5C9xkhVmxz2jid0h03fLorC84rAk2pOjr0i
\npbltETq9RCGhOWp13OV22x2yiIedBi05bzw3F+uLHhn9xKjmpBuZB6WO\/TuD52DH
\nKRZtwSvoaa61vL0bGnIf3lNGWkALWEC3lGBppby4D05N2FNfgfOFr1yOpxTaRaDh
\n4kOnoAEWVzppkTPyqSOkwXmgdma8D9yqD41Ffu8ypGTv+OOVO7jDq8tx9wVZEU+w
\npqBTzQcf0P0K7qO3igdHQxqHmqXsaJpbmvCBABEBAAG0KkNTSVJUIFBhbmFtYSAo
\nQ1NJUlQgUGFuYW1hKSA8aW5mb0BjZXJ0LnBhPokBOAQTAQIAIgUCTwL0qgIbDwYL
\nCQgHAwIGFQgCCQoLBBYCAwECHgECF4AACgkQ2YlXchbysSSPSQgAooUy3qSR\/YX2
\nH3USJ5VzrmnraHg5LIWRPIBD1PGrswjLE8hxdobPU\/uzi9LWnEcDscfFVKM\/K0Jt
\nbjeoESqCVFlpE0YXJWdDhy0m2WM410sDE2HVXbPhWGqrNeDb0VUV\/LWag1yYTj5w
\nkkxma4Tk5TqlhgL5su2PpjtTdFSHYD4N+4mu7g1GhRrrpz+u7ZRm3b\/WkAJg5FIg
\nU0MpPqUGAF5\/pc02ZB10FdxDwWyXAkwYUN+zfLiKzKOrBGkEw9+jvFGU+z76P9Zk
\n1XJIexpmkBYTxc+TOclhAp\/3HP4taoBHRMoR1q1YhdC++UgRSLmPLGn\/AB707JzN
\nQ80++q2kWQ==
\n=JUYg
\n—–END PGP PUBLIC KEY BLOCK—–<\/p>\n","protected":false},"excerpt":{"rendered":"
CSIRT Panam\u00e1 Aviso 2014-11- Vulnerabilidad de Secuestro de Sesi\u00f3n y DoS en Drupal (CVE-2014-9015 | CVE-2014-9015) Gravedad: ALTA Fecha de publicaci\u00f3n: Noviembre 20, 2014 Fecha de modificaci\u00f3n: Noviembre 20, 2014 \u00daltima revisi\u00f3n: Revisi\u00f3n A. Fuente:…<\/p>\n","protected":false},"author":4,"featured_media":295,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[4],"tags":[13,10],"class_list":["post-286","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-avisos-de-seguridad","tag-aviso","tag-drupal"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/286","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=286"}],"version-history":[{"count":1,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/286\/revisions"}],"predecessor-version":[{"id":287,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/286\/revisions\/287"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/media\/295"}],"wp:attachment":[{"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=286"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=286"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=286"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}