Risques
- Contournement de la politique de sécurité
- Exécution de code arbitraire à distance
Systèmes affectés
- versions antérieures à Drupal 6.27
- Versions antérieures à Drupal 7.18 (pour la branche 7)
Résumé
Trois vulnérabilités ont été corrigées dans Drupal. Deux permettent de contourner les politiques de sécurités dans le module de recherche et le module d'envoi de fichier. La dernière permet une exécution de code arbitraire à distance en envoyant un fichier spécialement conçu.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité SA-CORE-2012-004 du 19 décembre 2012 : http://drupal.org/SA-CORE-2012-004
- Référence CVE CVE-2012-5651 https://www.cve.org/CVERecord?id=CVE-2012-5651
- Référence CVE CVE-2012-5652 https://www.cve.org/CVERecord?id=CVE-2012-5652
- Référence CVE CVE-2012-5653 https://www.cve.org/CVERecord?id=CVE-2012-5653
