El conocido gestor de contenido open-source Drupal lanza una nueva actualización donde soluciona fallos de terceros que son necesarios para su funcionamiento.
Esta semana se han descubierto una serie de vulnerabilidades que afectan a este CMS, tres de ellas pertenecen al framework php Symfony, y una cuarta que afecta a la conocida librería de JavaScript JQuery.
Symfony
- Un error de Cross-site scripting (XSS) en los mensajes de validación al utilizar los formularios del motor de plantillas PHP. Esto ocurre si el mensaje contiene información del input del usuario. (CVE-2019-10909).
- A partir de un input de usuario sin filtrar se podría modificar la ID de servicio realizando así una ejecución arbitraria de código que posiblemente pueda convertirse en una ejecución de código remoto (CVE-2019-10910).
- En el caso de que un usuario indique la opción «Remember me» se almacena una cookie generada a partir de información del nombre de usuario, la fecha de expiración, el hash de la contraseña o hashes. Un atacante podría modificar la cookie y autenticarse como un usuario diferente. Este ataque solo es posible si los dos usuarios comparten el mismo hash o si el valor de los hashes son null. Esto ocurriría si las contraseñas se comprueban desde otro sistema, por ejemplo SSO (CVE-2019-10911).
JQuery
- En la última actualización de JQuery revelaron una vulnerabilidad que permite realizar un ataque XSS a partir de un comportamiento inesperado de la función JQuery.extend(true, {}, … ).
Los problemas reportados a Symfony han sido parcheados en el mismo framework, y Drupal lo actualiza en las versiones 8.6.15 y 8.5.15. Así como el problema de XSS de JQuery además de actualizarse en las versiones citadas anteriormente, se añade su actualización a Drupal 7.66.
Más información
Drupal:
https://www.drupal.org/sa-core-2019-006
https://www.drupal.org/sa-core-2019-005
JQuery:
https://blog.jquery.com/2019/04/10/jquery-3-4-0-released
Symfony:
https://symfony.com/blog/cve-2019-10911-add-a-separator-in-the-remember-me-cookie-hash
https://symfony.com/blog/cve-2019-10910-check-service-ids-are-valid
https://symfony.com/blog/cve-2019-10909-escape-validation-messages-in-the-php-templating-engine
