Drupal, bir saldırganın kötü amaçlı dosyalar yüklemesine ve bir sitenin kontrolünü ele geçirmesine izin verebilecek 9.2 ve 9.3 sürümlerini etkileyen iki güvenlik açığı duyurdu. İki güvenlik açığının tehdit seviyeleri Orta Derecede Kritik olarak derecelendirilmiştir. Amerika Birleşik Devletleri Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), açıklardan yararlanmaların bir saldırganın savunmasız bir Drupal tabanlı web sitesinin kontrolünü ele geçirmesine yol açabileceği konusunda uyardı. CISA şunları söyledi:
“Drupal, Drupal 9.2 ve 9.3’ü etkileyen güvenlik açıklarını gidermek için güvenlik güncellemeleri yayınladı. Saldırgan, etkilenen bir sistemin kontrolünü ele geçirmek için bu güvenlik açıklarından yararlanabilir.”
Drupal
Drupal, PHP programlama dilinde yazılmış popüler bir açık kaynaklı içerik yönetim sistemidir. Smithsonian Institution, Universal Music Group, Pfizer, Johnson & Johnson, Princeton Üniversitesi ve Columbia Üniversitesi gibi birçok büyük kuruluş, web siteleri için Drupal kullanıyor.
Form API – Uygunsuz Giriş Doğrulaması
İlk güvenlik açığı Drupal’ın form API’sini etkiler. Güvenlik açığı, uygun olmayan bir giriş doğrulamasıdır; bu, form API’si aracılığıyla yüklenenlerin, izin verilip verilmediği konusunda doğrulanmadığı anlamına gelir. Bir forma neyin yüklendiğini veya girildiğini doğrulamak yaygın bir en iyi uygulamadır. Genel olarak, girdi doğrulaması, formun belirli girdiler beklediği ve beklenen girdi veya yüklemeye karşılık gelmeyen her şeyi reddedeceği bir İzin Verme Listesi yaklaşımıyla yapılır. Bir form bir girişi doğrulamadığında, bu, web sitesini web uygulamasında istenmeyen davranışları tetikleyebilecek dosyaların yüklenmesine açık bırakır. Drupal’ın duyurusu belirli sorunu açıkladı:
“Drupal çekirdeğinin form API’si, belirli katkıda bulunan veya özel modüllerin formlarının uygunsuz giriş doğrulamaya karşı savunmasız olabileceği bir güvenlik açığına sahiptir. Bu, bir saldırganın izin verilmeyen değerler eklemesine veya verilerin üzerine yazmasına izin verebilir. Etkilenen formlar yaygın değildir, ancak bazı durumlarda bir saldırgan kritik veya hassas verileri değiştirebilir.”
Drupal Core – Erişim Baypas
Erişim atlama, bir erişim denetimi denetiminin eksik olduğu bir yoldan sitenin bir bölümüne erişmenin bir yolunun bulunabileceği ve bazı durumlarda kullanıcının sahip olmadığı düzeylere erişebilmesine neden olabilecek bir güvenlik açığı biçimidir. için izinler. Drupal’ın duyurusu güvenlik açığını açıkladı:
“Drupal 9.3, varlık revizyonları için genel bir varlık erişim API’si uyguladı. Ancak bu API, mevcut izinlerle tamamen entegre değildi, bu da genel olarak içerik revizyonlarını kullanma erişimi olan, ancak düğüm ve medya içeriğinin ayrı öğelerine erişimi olmayan kullanıcılar için bazı olası erişim atlamalarına neden oldu.”
Yayıncılar Güvenlik Önerilerini İncelemeye ve Güncellemeleri Uygulamaya Teşvik Edildi
Amerika Birleşik Devletleri Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ve Drupal, yayıncıları güvenlik tavsiyelerini gözden geçirmeye ve en son sürümleri güncellemeye teşvik ediyor.
