DFN-CERT-2012-0964 Schwachstelle in der Drupal-Erweiterung OG [Linux][Fedora]

- 18. Mai 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket drupal6-og

Betroffene Plattformen:

Fedora 16

Eine Schwachstelle in der Drupal-Erweiterung OG erlaubt einem
authentifizierten, entfernten Angreifer Zugriff auf vertrauliche
Informationen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

SA-CONTRIB-2012-053: Schwachstelle in der Drupal-Erweiterung OG

In der Drupal-Erweiterung Organic Groups (OG) ist es Nutzern möglich,
Gruppen zu erzeugen und zu verwalten. Die View-Integration des Moduls
filtert allerdings keine Informationen zu Gruppen heraus, auf die ein Nutzer
keinen Zugriff hat. Einem Angreifer mit Zugriff auf einen Account ist es
damit möglich, die Titel von privaten Gruppen zu sehen und auch, welcher
Inhalt welchen Gruppen zugeordnet ist.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0964/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2012-May/080592.html