Inicio / Alerta Temprana / Avisos Seguridad / Vulnerabilidad de secuestro de sesión y DoS en Drupal

Vulnerabilidad de secuestro de sesión y DoS en Drupal

Fecha de publicación: 
20/11/2014
Importancia: 
4 - Alta
Recursos afectados: 

Todas las versiones de Drupal:

  • Anteriores a 6.34
  • Anteriores a 7.34
Descripción: 

Se ha descubierto una vulnerabilidad de secuestro de sesión que afecta a las versiones 6.x y 7.x, y otra de denegación de servicio que únicamente afecta a la rama 7.x. Para ambas versiones ya existen actualizaciones que corrigen el problema.

Solución: 

Actualizar a las versiones de Drupal 6.34 y 7.34.

Detalle: 

Secuestro de sesión (Drupal 6 y 7):

  • A través de una petición especialmente manipulada es posible que una sesión de usuario pueda dar acceso a otras, permitiendo la suplantación de las mismas. Este ataque es posible realizarlo en sitios que sirven contenidos con "HTTP" y "HTTPS", aunque es posible que existan otros vectores de ataque.

Denegación de servicio (Drupal 6 y 7):

  • Drupal 7 incluye una API para codificar (hashing) las contraseñas y no almacenarlas en texto plano. Una vulnerabilidad en esta API podría permitir a un atacante, a través de una petición especialmente modificada, que provocaría un agotamiento de CPU dando como resultado una denegación de servicio del sitio afectado. Esta vulnerabilidad puede ser explotada por usuarios sin necesidad de logarse en el sistema. Esta vulnerabilidad, también afecta a la versión 6 de Drupal si está habilitada una versión del módulo Secure Password Hashes anterior a la 6.x-2.1.
Etiquetas: