CSIRT Panam\u00e1 Aviso 2016-07-Vulnerabilidades Cr\u00edticas en Modulos de Drupal
\nFecha de publicaci\u00f3n: Julio, 2016
\nFecha de modificaci\u00f3n: Julio, 2016
\n\u00daltima revisi\u00f3n: Revisi\u00f3n A.<\/p>\n
Sistemas Afectados<\/p>\n
Versi\u00f3n de Drupal: 7.x
\nM\u00f3dulos:
\nRESTful Web Services
\nCoder
\nWebform Multiple File Upload<\/p>\n
I. Descripci\u00f3n<\/p>\n
Drupal ha liberado tres bolet\u00ednes de seguridad[1] solucionando vulnerabilidades presentes en los modulos: RESTful Web Services[2], Coder[3] y Webform Multiple File Upload[4]. Seg\u00fan la documentaci\u00f3n ofrecida por Drupal estos modulos son utilizados por 1000 a 10000 sitios, por lo que sugerimos verificar si estos modulos son utilizados por sus sitios web y aplicar las actualizaciones correspondientes.
\nLa vulnerabilidad en el modulo RESTful Web Services podr\u00eda permitir a un atacante ejecutar c\u00f3digo PHP de manera arbitraria. No existe forma de mitigar esta vulnerabilidad, adem\u00e1s esta vulnerabilidad puede ser explotada por usuarios anonimos.
\nLa vulnerabilidad en el modulo Coder, consiste en una deficiencia en la validaci\u00f3n de entrada en un script con extensi\u00f3n php. Un usuario malicioso no autenticado, podr\u00eda realizar peticiones directamente a este archivo y ejecutar c\u00f3digo php arbitrario.
\nLa vulnerabilidad en el m\u00f3dulo Web Form Multiple File Upload, trata de una vulnerabilidad de tipo ejecuci\u00f3n de c\u00f3digo remoto (RCE – Remote Code Execution).
\nCSIRT Panam\u00e1 recomienda a los administradores de estos sistemas aplicar las actualizaciones correspondientes.<\/p>\n
II. Impacto
\nUn atacante remoto no autenticado podr\u00eda ejecutar c\u00f3digo remoto de manera arbitaria afectando la disponibilidad, integridad y confidencialidad de un sitio web afectado.<\/p>\n
III. Referencia a soluciones, herramientas e informaci\u00f3n
\n[1] https:\/\/www.drupal.org\/psa-2016-001
\n[2] https:\/\/www.drupal.org\/node\/2765567
\n[3] https:\/\/www.drupal.org\/node\/2765575
\n[4] https:\/\/www.drupal.org\/node\/2765573<\/p>\n
IV. Informaci\u00f3n de Contacto
\nCSIRT PANAMA
\nComputer Security Incident Response Team Autoridad Nacional para la
\nInnovacion Gubernamental
\nE-Mail:\u00a0\u00a0 info@cert.pa
\nPhone:\u00a0\u00a0\u00a0 +507 520-CERT (2378)
\nWeb:\u00a0\u00a0\u00a0\u00a0\u00a0 https:\/\/www.cert.pa
\nTwitter:\u00a0 @CSIRTPanama
\nFacebook: http:\/\/www.facebook.com\/CSIRTPanama
\nKey ID:\u00a0\u00a0 16F2B124<\/p>\n","protected":false},"excerpt":{"rendered":"
CSIRT Panam\u00e1 Aviso 2016-07-Vulnerabilidades Cr\u00edticas en Modulos de Drupal Fecha de publicaci\u00f3n: Julio, 2016 Fecha de modificaci\u00f3n: Julio, 2016 \u00daltima revisi\u00f3n: Revisi\u00f3n A. Sistemas Afectados Versi\u00f3n de Drupal: 7.x M\u00f3dulos: RESTful Web Services Coder Webform…<\/p>\n","protected":false},"author":4,"featured_media":594,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[4],"tags":[8,10,80],"class_list":["post-788","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-avisos-de-seguridad","tag-avisos","tag-drupal","tag-vulnerabilidad"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/788","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=788"}],"version-history":[{"count":2,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/788\/revisions"}],"predecessor-version":[{"id":790,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/788\/revisions\/790"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/media\/594"}],"wp:attachment":[{"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=788"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=788"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=788"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}