Drupal 5 obsahuje kritické chyby!

Právě byly vydány dvě bezpečnostní informace týkající se kritické zranitelnosti redakčního systému Drupal. Zranitelná je jak pátá řada Drupalu, tak verze 4.7. První bezpečnostní upozornění sice bylo vydáno pouze pro Drupal 5.x, další zpráva se však týká již obou aktuálně používaných vývojových větví Drupalu.

Pozor na ztrátu komentářů a revizí

První chyba ve Forms API umožňuje útočníkovi smazat komentáře, revize obsahu a vypnout některá menu. Předpokladem je, že k tomu zneužijí uživatele s dostatečným oprávněním, který je momentálně k systému přihlášen a nebožák nic netuší. Tato chyba se týká pouze řady Drupal 5.x, verze 4.7.x nejsou postiženy.

Druhý problém spočívá v XSS. Obsah některých proměnných není v Drupalovi dostatečně ošetřen, takže potenciální útočník může při přidělených právech k administraci typů obsahu injektovat a spouštět HTML kód a libovolné skripty na vašem webu.

Odkazy ke stažení oprav

Vzhledem k tomu, že jde o kritické chyby, je vhodné co nejrychleji provést aktualizaci vašich webů s Drupalem. Nemůžete-li ihned svůj web aktualizovat, doporučuje se použití zveřejněných patchů.

• Drupal 4.7.7
• Drupal 5.2
• SA-2007-018-4.7.6.patch pro Drupal 4.7.6
• SA-2007-018-5.1.patch pro Drupal 5.1