DFN-CERT-2013-0779 Schwachstelle in der Drupal7 Chaos Tool Suite [Linux][Fedora]

- 15. April 2013

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket drupal7-ctools

Betroffene Plattformen:

Fedora 17
Fedora 18

Eine Schwachstelle in der Chaos Tool Suite von Drupal7 erlaubt einem
entfernten Angreifer schlimmstenfalls Zugriff auf vertrauliche
Informationen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

CVE-2013-1925: Schwachstelle in der Chaos Tool Suite von Drupal7

In dem Modul werden Zugriffsrechte für Knoten nicht fehlerfrei umgesetzt.
Einem Angreifer mit der Berechtigung “access content” kann aufgrund der
Autovervollständigung von Knotentiteln, alle Titel sehen und nicht nur die
beabsichtigte Teilmenge dieser Werte.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-0779/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2013-April/101885.html
http://lists.fedoraproject.org/pipermail/package-announce/2013-April/101888.html

Schwachstelle CVE-2013-1925:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1925