Drupal , um do sistema de gerenciamento de conteúdo de código aberto amplamente utilizado está recomendando seus usuários para atualizar seu software para as últimas versões 6.35 e 7.35 depois que a empresa descobriu duas vulnerabilidades moderadamente críticas que podem permitir que um invasor para hackear websites Drupal.
De acordo com um comunicado de segurança publicado ontem, uma falha encontrada no núcleo Drupal poderia permitir que um hacker em potencial em determinadas circunstâncias para contornar as restrições de segurança, forjando a redefinição de senha URLs.
ACESSO BYPASS / Password Reset URLs VULNERABILIDADE
A exploração bem sucedida desta vulnerabilidade Bypass Acesso poderia alavancar o hacker para obter acesso não autorizado a contas de usuário sem saber a senha.
Esta vulnerabilidade é considerada como moderadamente crítica em que um atacante pode enganar remotamente um usuário registrado do site baseado Drupal, como um administrador, para o lançamento de um URL malicioso em uma tentativa de assumir o controle do servidor de destino.
WEBSITES Drupal AFETADOS
A exploração da vulnerabilidade acesso desvio em Drupal 7 site só é possível se a conta de importação ou editar programaticamente resultados do processo no hash de senha no banco de dados é o mesmo para várias contas de usuário.
Os sites que executam o Drupal 6 estão em maior risco, porque os administradores dos sites criaram várias novas contas de usuário protegidos pela mesma senha.
Além disso, a vulnerabilidade de segurança também pode ser explorada nas Drupal 6 sites em que as contas tenham sido importados ou programaticamente editados de uma maneira que resulta em campo hash de senha no banco de dados estar vazio para, pelo menos, para uma conta de usuário.
“Drupal 6 sites que tenham hashes de senha em branco, ou um campo de senha com uma corda guessable no banco de dados, são particularmente propensas a essa vulnerabilidade,” a segurança do Drupal assessoria notas. “Isto pode aplicar-se a sites que usam autenticação externa para que a senha campo é definido como um valor inválido fixa. “
ABERTO DE VULNERABILIDADE REDIRECT
As versões afetadas do Drupal CMS também estão suscetíveis a uma vulnerabilidade de redirecionamento aberto . URLs de ação Drupal conter um ” destino parâmetro “nele, que pode ser usado por criminosos virtuais para redirecionar os usuários para um local de terceiros com conteúdo malicioso.
Segundo a equipe de Drupal, há múltiplas funções da API URL-relacionados em versões afetadas do Drupal 6 e 7 que podem ser utilizados por atacantes para passando por URLs externos quando não for necessário. Isso poderia potencialmente levar a vulnerabilidades adicionais redirecionamento abertos.
“Essa vulnerabilidade é mitigado pelo fato de que muitos usos comuns do” destino “parâmetro não são suscetíveis ao ataque”, desenvolvedores observam. “No entanto, todas as formas de confirmação construídos usando Drupal 7 do formulário API são vulneráveis através da ação Cancelar que aparece na a parte inferior do formulário, e alguns Drupal 6 formas de confirmação são vulneráveis também. “
A questão é realmente grave, porque Drupal é usado para poder mais de 1 bilhão sites na Internet , o que coloca Drupal em terceiro lugar, atrás dos WordPress e Joomla. Drupal fornece um sistema de gerenciamento de conteúdo para websites, incluindo MTV, Ciência Popular, Sony Music, Harvard e MIT.
RECOMENDAÇÕES
Os administradores do site são fortemente recomendados a tomar algumas medidas necessárias:
- Atualize para a versão mais recente do núcleo do Drupal, ou seja, Drupal núcleo 6.35 e Drupal núcleo 7,35
- Executar todos software como um usuário não-privilegiado (um sem privilégios administrativos) para diminuir os efeitos de um ataque bem sucedido.
- Não clique em links de fontes desconhecidas.
- Não abra anexos de e-mail a partir de fontes desconhecidas ou não confiáveis.
- Considere a implementação de listas brancas extensão de arquivo para anexos de e-mails permitidos.
fonte: http://thehackernews.com/2015/03/hacking-drupal-website.html