DFN-CERT-2012-1677 Schwachstelle in Chaos Tool Suite von Drupal 6 und 7 [Linux][Fedora]

- 29. August 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket drupal6-ctools

Betroffene Plattformen:

Fedora 16
Fedora 17

Eine Schwachstelle in der Chaos Tool Suite von Drupal 6 ermöglicht einem
entfernten Angreifer schlimmstenfalls das Einfügen von beliebigen Dateien.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://dl.fedoraproject.org/pub/fedora/linux/updates/

Drupal SA-CONTRIB-2012-125: Schwachstelle in Chaos Tool Suite von Drupal 6
und 7

Die Chaos Tool Suite in den Versionen 6.x-1.x vor Version 6.x-1.9 für Drupal
6 und in den Versionen 7.x-1.x vor Version 7.x-1.1 für Drupal 7 filtert
CSS-Import-Statements nicht hinreichend. Dies ermöglicht einem entfernten
Angreifer, falls er berechtigt ist eine angepasste CSS-Datei hochzuladen,
beliebige Dateien einzufügen oder einen Cross-site Scripting Angriff
durchzuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-1677/

Das Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/2012-August/085723.html
http://lists.fedoraproject.org/pipermail/package-announce/2012-August/085736.html

Das Hersteller Advisory:
http://drupal.org/node/1719548