Debians sikkerhedsbulletin

DSA-2016-1 drupal6 -- flere sårbarheder

Rapporteret den:

13. mar 2010

Berørte pakker:

drupal6

Sårbar:

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 572439.

Yderligere oplysninger:

Flere sårbarheder (SA-CORE-2010-001) blev opdaget i drupal6, et komplet indholdhåndteringsframework.

Udførelse af skripter på tværs af websteder under installering

En brugerleveret værdi, der anvendes direkte som uddata under installeringen, gjorde det muligt for en ondsindet bruger, at fabrikere en URL og udføre et angreb i forbindelse med udførelse af skripter på tværs af websteder. Fejlen kunne kun udnyttes på websteder, der endnu ikke var opsat.

Åben viderestilling

API-funktionen drupal_goto() var sårbar over for et phishing-angreb. En angriber kunne danne en viderestilling på en sådan måde, at Drupal-webstedet sendte en bruger til en vilkårligt leveret URL. Ingen brugerleverede data blev sendt til denne URL.

Udførelse af skripter på tværs af websteder i forbindelse med lokale moduler

Lokale moduler og afhængige leverede moduler, fornuftighedskontrollerede ikke visningen af sprogkoder, samt indfødte og engelske sprognavne på korrekt vis. Mens disse normalt kommer fra en forudvalgt liste, er vilkårlige inddata fra administratorerne tilladt. Sårbarheden begrænses af det faktum, at angriberen skal have en rolle med rettigheden administer languages.

Regenerering af blokeret brugers session

Under visse omstændigheder kunne en bruger med en åben session, som er blokeret, vedligeholde sin session på Drupal-webstedet, på trods af at være blokeret.

I den stabile distribution (lenny), er disse problemer rettet i version 6.6-3lenny5.

I den ustabile distribution (sid), er disse problemer rettet i version 6.16-1, og vil snart blive overført til distributionen testing (squeeze).

Vi anbefaler at du opgraderer din drupal6-pakke.

Rettet i:

Debian GNU/Linux 5.0 (lenny)

Kildekode:: http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny5.dsc; http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny5.diff.gz; http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6.orig.tar.gz
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/d/drupal6/drupal6_6.6-3lenny5_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.