Drupal Organic Groups Module sérülékenységek

CH azonosító

CH-6960

Angol cím

Drupal Organic Groups Module Security Bypass and Script Insertion Vulnerabilities

Felfedezés dátuma

2012.06.06.

Súlyosság

Alacsony

Érintett rendszerek

Drupal
Organic groups module

Érintett verziók

Drupal Organic groups Module 6.x

Összefoglaló

A Drupal Organic Groups modul biztonsági hibáját jelentették, amelyet a rosszindulatú felhasználók script beszúrásos (script insertion) támadásokra, a támadók pedig bizonyos biztonsági szabályok megkerülésére használhatnak ki.

Leírás

  1. Az egyik sérülékenységet az okozza, hogy a modul nem ellenőrzi megfelelően az “access content” engedélyeket, ami kihasználható egyébként korlátozott tartalmakhoz való hozzáférésre.
    Ennek a sérülékenységnek a sikeres kihasználásához az összes felhasználónál el kell távolítani az “access content” engedélyeket.
  2. Bizonyos bemeneti adatok a csoport címek létrehozásakor és módosításakor felhasználás előtt nincsenek megfelelően megtisztítva. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában, a káros adat megtekintésekor.
    A sérülékenység sikeres kihasználásához a Vertical Tabs modul megléte (mert annak a konfigurációja tartalmazza az Organic Group kiválasztó felületet (select area)), és csoport cím létrehozására és módosításához való engedélyek szükségesek.

A sérülékenységeket a 6.x-2.x verziók 6.x-2.4 előtti kiadásaiban jelentették.

Megoldás

Frissítsen a legújabb verzióra