S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 03 mars 2009
N° CERTA-2009-AVI-080
Affaire suivie par: CERT-FR
le 03 mars 2009

Avis du CERT-FR

Objet: Vulnérabilité dans Drupal

Gestion du document

Référence CERTA-2009-AVI-080
Titre Vulnérabilité dans Drupal
Date de la première version 03 mars 2009
Date de la dernière version 03 mars 2009
Source(s) Bulletins de sécurité SA-CORE-2009-003 et SA-CORE-2009-004 du 25 février 2009
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance ;
  • atteinte à la confidentialité des données.

Systèmes affectés

  • Drupal versions 5.x antérieures à 5.16 ;
  • Drupal versions 6.x antérieures à 6.10.

Résumé

Une vulnérabilité dans Drupal permet d'accéder en lecture à des fichiers et, dans certains cas, de les exécuter.

Description

Une vulnérabilité a été découverte dans le traitement des thèmes de Drupal. Cette faille permet d'inclure des fichiers déjà présents sur le serveur, ce qui peut conduire à une exécution de code arbitraire à distance.

Cette vulnérabilité n'est exploitable que sous Microsoft Windows.

Solution

Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 03 mars 2009
    version initiale.