Se descubre otra falla crítica en Drupal ¡Actualiza tu sitio lo antes posible!

- Seguridad
- Posted
- ¡Escribe el primer comentario!
- Visto 535 veces
Podría permitir a atacantes remotos piratear un sitio
Los desarrolladores de Drupal, un popular software de sistema de gestión de contenido de código abierto que impulsa a millones de sitios web, han lanzado la última versión de su software para corregir una vulnerabilidad crítica que podría permitir a atacantes remotos piratear un sitio.
La actualización se realizó dos días después de que el equipo de seguridad de Drupal publicara una notificación de seguridad anticipada de los parches que se avecinaban, dando a los administradores de sitios web los avisos iniciales para arreglar sus sitios web antes de que los piratas informáticos abusaran de la brecha de seguridad.
La vulnerabilidad en cuestión es una falla crítica de ejecución remota de código (RCE) en Drupal Core que podría "conducir en algunos casos a la ejecución de código PHP arbitrario", dijo el equipo de seguridad de Drupal.
Si bien el equipo de Drupal no ha publicado ningún detalle técnico de la vulnerabilidad (CVE-2019-6340), mencionó que la falla reside en el hecho de que algunos tipos de campo no desinfectan los datos de fuentes que no son de forma y afectan al núcleo de Drupal 7 y 8.
También debes tener en cuenta que tu sitio web basado en Drupal solo se ve afectado si el módulo de Servicios web RESTful (rest) está habilitado y permite las solicitudes de PATCH o POST, o si tienes otro módulo de servicios web habilitado.
Si no puedes instalar de inmediato la última actualización, entonces puedes mitigar la vulnerabilidad simplemente deshabilitando todos los módulos de servicios web o configurando tu(s) servidor(es) web para que no permitan las solicitudes PUT/PATCH/POST a los recursos de servicios web.
"Tenga en cuenta que los recursos de servicios web pueden estar disponibles en varias rutas según la configuración de su servidor (s)", advierte Drupal en su aviso de seguridad publicado el miércoles.
"Para Drupal 7, los recursos están, por ejemplo, típicamente disponibles a través de rutas (URLs limpias) y mediante argumentos al argumento de consulta "q". Para Drupal 8, las rutas aún pueden funcionar cuando se prefijan con index.php/".
Sin embargo, considerando la popularidad de las vulnerabilidades de Drupal entre los piratas informáticos, se recomienda encarecidamente instalar la última actualización:
• Si estás utilizando Drupal 8.6.x, actualiza tu sitio web a Drupal 8.6.10.
• Si estás utilizando Drupal 8.5.x o una versión anterior, actualiza tu sitio web a Drupal 8.5.11
Drupal también dijo que el módulo de Servicios de Drupal 7 en sí no requiere una actualización en este momento, pero los usuarios aún deben considerar la aplicación de otras actualizaciones asociadas con la última recomendación si "Servicios" está en uso.
Drupal le ha dado crédito a Samuel Mortenson de su equipo de seguridad por descubrir y reportar la vulnerabilidad.
Artículos relacionados (por etiqueta)
- HTTPS está casi en todas partes. Entonces, ¿por qué todavía no es seguro Internet?
- Cómo defenderse del malware, el phishing y las estafas durante la crisis de COVID-19
- Nuevas fallas de la red 5G permiten a los atacantes rastrear las ubicaciones y robar datos de los usuarios
- Amnesia:33 - Fallas críticas de TCP/IP afectan a millones de dispositivos IoT
- Google advierte sobre fallas de Zero-click en dispositivos Bluetooth basados en Linux
- Actualiza tu navegador web. Error de Google Chrome podría permitir a los hackers evitar la protección de CSP
Lo último de Jesús Cáceres
- La importancia de realizar pagos en línea seguros
- Signal vs.Telegram: ¿Cuál es la mejor aplicación de mensajería?
- La NSA sugiere que las empresas utilicen solucionadores de DNS sobre HTTPS 'designados'
- WhatsApp da marcha atrás para el 'intercambio de datos' con Facebook
- El nuevo Windows 10X apunta a la simplicidad
Deja tus comentarios
- Publicar comentario como invitado. Regístrate o ingresaa tu cuenta