La vulnerabilidad de Drupal Core altamente crítica afecta a más de 1 millón de sitios
El equipo de seguridad de Drupal anunció una vulnerabilidad de ejecución de código remoto no autenticada sumamente crítica en el núcleo de Drupal. La vulnerabilidad permite a un atacante aprovechar múltiples vectores de ataque y tomar el control completo de un sitio web. El equipo de Drupal estima que, en el momento del anuncio, más de un millón de sitios se ven afectados, alrededor del 9% de los sitios de Drupal. También informaron que, según su conocimiento, no estaba siendo activamente explotado.
Normalmente no cubrimos las vulnerabilidades de Drupal en este blog, pero dada la naturaleza y el alcance del problema, nos sentimos obligados a ayudar a difundir el mensaje a través de este anuncio de servicio público (PSA).
Los propietarios del sitio deben actualizar a una versión segura del núcleo de Drupal inmediatamente. Si bien los informes de que no hay hazañas activas son reconfortantes, el anuncio atraerá mucha atención de los atacantes. Dada la naturaleza de la vulnerabilidad, habrá literalmente una carrera entre los propietarios del sitio mejorando y los atacantes descubriendo un exploit.
Aquí hay un resumen de alto nivel de las acciones impactadas y recomendadas de las versiones:
- Los sitios que ejecutan Drupal 8.x deben actualizarse a la versión 8.5.1
- Los sitios que ejecutan Drupal 7.x deben actualizarse a la versión 7.58
- Hay parches disponibles para las versiones 8.3.x y 8.2.x
- Los sitios con versiones al final de su vida útil necesitarán actualizarse a una versión compatible de Drupal.
En Drupal.org, encontrará una descripción más detallada de las recomendaciones de actualización del equipo de seguridad de Drupal. También han publicado preguntas frecuentes detalladas .
Al observar la diferencia de los parches proporcionados por el equipo de Drupal, revelan una nueva clase DrupalRequestSanitizer usa para desinfectar la entrada del usuario.
Esta clase se usa para filtrar valores de la cadena de consulta, el cuerpo del mensaje y las cookies que comienzan con # .
Aún no se ha hecho pública una prueba de concepto que demuestre el ataque, pero esperamos que esté disponible pronto.
Este ataque ha recibido el apodo de "Drupalgeddon 2". El Drupalgeddon anterior era tan grave en este aspecto , y tenía ataques automatizados contra sitios Drupal no reparados en cuestión de horas después de que se realizara el anuncio público de la vulnerabilidad.
Ayúdenos a difundir esta vulnerabilidad potencialmente desagradable a otros propietarios de sitios para que puedan estar un paso por delante de los atacantes.
