Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (27.08.2015):
Für die Distributionen Fedora 21, Fedora 22 und Fedora 23 sowie für Fedora
EPEL 5, EPEL 6 und EPEL 7 stehen Sicherheitsupdates auf die Drupal Version
7.39 im Status ‘testing’ bereit.
Version 1 (25.08.2015):
Neues Advisory
Betroffene Software:
Drupal <= 6.36 Drupal <= 7.38 Betroffene Plattformen: GNU/Linux Microsoft Windows Red Hat Fedora 21 Red Hat Fedora 22 Red Hat Fedora 23 Extra Packages for Red Hat Enterprise Linux 5 Extra Packages for Red Hat Enterprise Linux 6 Extra Packages for Red Hat Enterprise Linux 7 Mehrere Schwachstellen in Drupal 6 und 7 ermöglichen einem entfernten, authentifizierten Benutzer, als Angreifer, die Durchführung von Cross-Site-Scripting- und Cross-Site-Request-Forgery-Angriffen, das Ausspähen von Informationen und Injizierten von SQL-Befehlen. Drupal stellt Sicherheitsupdates auf die Versionen 6.37 bzw. 7.39 zur Verfügung. Patch: Drupal Security Advisory SA-CORE-2015-003 https://www.drupal.org/SA-CORE-2015-003
Patch:
Fedora Security Update FEDORA-2015-13915
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.fc23
Patch:
Fedora Security Update FEDORA-2015-13916
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.fc22
Patch:
Fedora Security Update FEDORA-2015-13917
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.fc21
Patch:
Fedora Security Update FEDORA-EPEL-2015-7732
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.el7
Patch:
Fedora Security Update FEDORA-EPEL-2015-7733
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.el6
Patch:
Fedora Security Update FEDORA-EPEL-2015-7734
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.el5
CVE-2015-6665: Schwachstelle in Drupal ermöglicht
Cross-Site-Scripting-Angriff
Eine nicht näher beschriebene Schwachstelle in der Ajax-Komponente in Drupal
7.x ermöglicht einem entfernten, authentifizierten Angreifer die
Durchführung eines Cross-Site-Scripting-Angriffs durch den Aufruf der
Funktion Drupal.ajax() auf HTML-Elemente (Whitelisted).
CVE-2015-6661: Schwachstelle in Drupal ermöglicht das Ausspähen von
Knotennamen
In Drupal besteht eine Schwachstelle aufgrund unzureichender Restriktionen
bei Lesezugriffen. Ein entfernter, authentifizierter Angreifer kann ohne die
“access content” Erlaubnis Titel von Knoten sehen, auf die er normalerweise
keinen Zugriff hat.
CVE-2015-6660: Schwachstelle in Drupal ermöglicht
Cross-Site-Request-Forgery-Angriff
In der Form API in Drupal besteht eine Schwachstelle, da die Überprüfung der
Form Token zu spät erfolgt und so nicht vertrauenswürdige Eingaben
verarbeitet werden. Ein entfernter, einfach authentisierter Angreifer kann
die Schwachstelle für einen Cross-Site-Request-Forgery-Angriff ausnutzen und
Dateien ungeprüft im Namen anderer Benutzer hochladen. Diese werden dann als
temporäre Dateien auf der Seite gespeichert. Üblicherweise werden temporäre
Dateien automatisch nach sechs Stunden wieder gelöscht.
CVE-2015-6659: Schwachstelle in Drupal ermöglicht Ausführen beliebiger
SQL-Befehle
In der SQL-Kommentarfilterung in Drupal besteht eine
SQL-Injektions-Schwachstelle. Ein entfernter, authentifizierter Angreifer
mit weitreichenden Berechtigungen kann beliebige SQL-Befehle über ein
Kommentarfeld einschleusen und zur Ausführung zu bringen.
CVE-2015-6658: Schwachstelle in Drupal ermöglicht Cross-Site-Scripting
In der Formular-Funktion zum automatischen Vervollständigen in Drupal
besteht eine Cross-Site-Scripting-Schwachstelle aufgrund der unzureichenden
Bereinigung der angefragten URL. Ein entfernter, authentifizierter
Angreifer, mit dem Recht Dateien hochzuladen, kann diese Schwachstellen
ausnutzen, wenn es ihm gelingt, einen angemeldeten Benutzer zum Verwenden
einer manipulierten URL zu verleiten, um Programmcode im Kontext des
Benutzers zur Ausführung zu bringen oder sensible Informationen im Kontext
des Browser, wie Cookies, auszuspähen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1315/
Drupal Security Advisory SA-CORE-2015-003:
https://www.drupal.org/SA-CORE-2015-003
Schwachstelle CVE-2015-6658 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6658
Schwachstelle CVE-2015-6659 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6659
Schwachstelle CVE-2015-6660 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6660
Schwachstelle CVE-2015-6661 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6661
Schwachstelle CVE-2015-6665 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6665
Fedora Security Update FEDORA-2015-13915 :
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.fc23
Fedora Security Update FEDORA-2015-13916 :
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.fc22
Fedora Security Update FEDORA-2015-13917:
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.fc21
Fedora Security Update FEDORA-EPEL-2015-7732 :
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.el7
Fedora Security Update FEDORA-EPEL-2015-7733 :
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.el6
Fedora Security Update FEDORA-EPEL-2015-7734:
https://bodhi.fedoraproject.org/updates/drupal7-7.39-1.el5
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
