Risque
- Exécution de code arbitraire à distance ;
- injection de code indirecte.
Systèmes affectés
- Drupal versions 5.x antérieures à 5.19 ;
- Drupal versions 6.x antérieures à 6.13.
Résumé
De multiples vulnérabilités dans Drupal permettent de réaliser une injection de code indirecte et, dans certains cas particuliers, d'exécuter du code arbitraire à distance ou de provoquer la divulgation d'un mot de passe.
Description
De multiples vulnérabilités ont été découvertes dans Drupal :
- le module de forum ne gère pas correctement certains paramètres. En incitant un utilisateur disposant de privilèges élevés à suivre un lien spécifiquement construit, il est possible de réaliser une injection de code indirecte (versions 6.x) ;
- dans des cas très particuliers, il est possible d'exécuter du code par l'intermédiaire des signatures des utilisateurs (versions 6.x) ;
- lorsqu'un utilisateur se trompe en saisissant ses identifiants lors d'une connexion, et si sa page actuelle contient une table de tri, alors les informations saisies sont stockées dans la table sous forme de liens. En suivant l'un de ces liens, ces informations peuvent accidentellement être divulguées.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Drupal SA-CORE-2009-007 du 01 juillet 2009 :
http://drupal.org/node/507572
