Vulnerabilidad crítica en Drupal – SA-CORE-2018-004

Drupal es un CMS que permite publicar artículos, imágenes, archivos y que también ofrece la posibilidad de otros servicios añadidos como pueden ser foros, blogs, administración de usuarios y permisos.

La vulnerabilidad, etiquetada con CVE-2018-7600 permite la ejecución remota de código debido a un fallo a la hora de sanear las entradas en la función ‘stripDangerousValues‘, que afecta a múltiples subsistemas de Drupal 7.x y 8.x. Permite a los atacantes explotar múltiples vectores de ataque en un mismo sitio, por lo que pueden comprometer el sitio web. Esta vulnerabilidad está relacionada con Drupal core y está calificada como “Muy crítica”. 

Se recomienda actualizar la versión de Drupal 7 u 8 core más reciente:

• Versión 7.x, actualizar a Drupal 7.59.
• Versión 8.4.x, actualizar a Drupal 8.4.8.
• Versión 8.5.x, actualizar a Drupal 8.5.3.

Si no se puede actualizar inmediatamente, o si está ejecutando una distribución de Drupal que aún no incluye este parche de seguridad, puede intentar aplicar el siguiente parche para corregir la vulnerabilidad hasta que pueda actualizar por completo:

• Parche para Drupal 8.x (8.5.x y siguientes)
• Parche para Drupal 7.x

Estos parches solo funcionarán si el sitio ya tiene aplicada la corrección SA-CORE-2018-002. 

Más información

Drupal core – Highly critical – Remote Code Execution – SA-CORE-2018-004
https://www.drupal.org/sa-core-2018-004

Drupal Core CVE-2018-7602 Remote Code Execution Vulnerability
https://www.securityfocus.com/bid/103985/info