Las versiones de Drupal anteriores a:
- Drupal 9.4.3;
- Drupal 9.3.19;
- Drupal 7.91.
Se han publicado cuatro vulnerabilidades en el core de Drupal, una crítica y tres de severidad alta que afectan a la sanitización de los nombres de archivo .httaccess, al acceso a ficheros del módulo de imagen, a la validación de formularios en el API (Application Programming Interface) y a la validación de los dominios de iframes de media oEmbed. La más crítica de estas vulnerabilidades podría llevar a la ejecución de archivos de configuración en el servidor Apache.
Se recomienda actualizar Drupal a la última versión disponible. Para ello, puedes acceder a los siguientes enlaces:
- Si utilizas Drupal 9.4, actualiza a Drupal 9.4.3.
- Si utilizas Drupal 9.3, actualiza a Drupal 9.3.19.
- Si utilizas Drupal 7, actualiza a Drupal 7.91.
Todas las versiones de Drupal 9, anteriores a 9.3.x, están al final de su ciclo de vida y no reciben actualizaciones de seguridad. Drupal 8 ha llegado al final de su vida útil. Drupal 7 solo está afectado por la vulnerabilidad del módulo de imagen.
Es importante proteger el gestor de contenidos para evitar que sea vulnerable. Sigue este checklist para evitar posibles ataques de ciberdelincuentes, algunos de ellos explicados en casos reales:
- ¿Humano o bot? Protege tu web con sistemas captcha
- Celebra el Día Mundial de las Contraseñas, la puerta de entrada a todos tus servicios
- Qué es una DMZ y cómo te puede ayudar a proteger tu empresa
- Historias reales: web segura cumpliendo la ley
- 5 razones para hacer copias de seguridad de tu web
Detalle:
- La vulnerabilidad crítica que afecta a la sanitización de los nombres de archivo con extensiones sospechosas permite, de no ser parcheada, que ficheros con la extensión .httaccess (de configuración del servidor Apache) puedan llegar a ejecutarse en el servidor.
- El resto de vulnerabilidades afectan:
- al módulo de imagen que no chequea correctamente el acceso a ficheros fuera de los directorios estándar;
- a la API (Application Programming Interface) de formularios, que evalúa incorrectamente, en algunas circunstancias, el acceso a elementos de formularios añadidos a través de módulos o temas contribuidos por terceros;
- a la validación de los dominios de las rutas de los iframes de media oEmbed que puede llevar a ataques de cross-site-scripting o robo de cookies entre otras.