Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Drupal Modul Features < 7.x-2.9 Betroffene Plattformen: Red Hat Fedora 23 Red Hat Fedora 24 Extra Packages for Red Hat Enterprise Linux 5 Extra Packages for Red Hat Enterprise Linux 6 Ein entfernter, nicht authentifizierter Angreifer, dem es gelingt einen angemeldeten Administrator zum Aufruf einer speziellen URL zu verleiten, kann einen Cross-Site-Request-Forgery (CSRF)-Angriff durchführen und dies für einen Denial-of-Service (DoS)-Angriff ausnutzen. Der Hersteller behebt die Schwachstelle in Version 7.x-2.9 der Software. Für Fedora 23 und 24 sowie Fedora EPEL 5 und 6 stehen kumulative Sicherheitsupdates für das Drupal Modul Features auf Version 7.x-2.10 zur Verfügung. Die Sicherheitsupdates für Fedora EPEL 5 und 6 befinden sich im Status 'testing', während für die Sicherheitsupdates für Fedora 23 und 24 der Status 'testing' bisher nur beantragt wurde. Patch: Drupal Security Advisory SA-CONTRIB-2016-020 https://www.drupal.org/node/2705637

Patch:

Fedora Security Update FEDORA-2016-5b05ca41dd (Fedora 24,
drupal7-features-2.10-1)

https://bodhi.fedoraproject.org/updates/FEDORA-2016-5b05ca41dd

Patch:

Fedora Security Update FEDORA-2016-83189e6c2f (Fedora 23,
drupal7-features-2.10-1)

https://bodhi.fedoraproject.org/updates/FEDORA-2016-83189e6c2f

Patch:

Fedora Security Update FEDORA-EPEL-2016-7b9d323b2b (Fedora EPEL 5,
drupal7-features-2.10-1)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-7b9d323b2b

Patch:

Fedora Security Update FEDORA-EPEL-2016-aded7e0561 (Fedora EPEL 6,
drupal7-features-2.10-1)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-aded7e0561

SA-CONTRIB-2016-020: Schwachstelle in Drupal Modul Features ermöglicht
Denial-of-Service-Angriff

In den Dupal Modul Features 7.x-2.x Versionen bevor 7.x-2.9 und in den
Features Versionen 7.x-1.x, welche nicht mehr unterstützt werden, besteht
kein hinreichender Schutz der ‘admin/structure/features/cleanup’-Pfade
mittels eines Tokens. Wenn es einem Angreifer gelingt, einen Administrator
mit der Berechtigung ‘manage features’ dazu zu verleiten, eine speziell
präparierte URL aufzurufen, während er eingeloggt ist, kann dies dazu
führen, dass der Cache wiederholt geleert wird.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1256/

Drupal Security Advisory SA-CONTRIB-2016-020:
https://www.drupal.org/node/2705637

Fedora Security Update FEDORA-2016-5b05ca41dd (Fedora 24,
drupal7-features-2.10-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-5b05ca41dd

Fedora Security Update FEDORA-2016-83189e6c2f (Fedora 23,
drupal7-features-2.10-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-83189e6c2f

Fedora Security Update FEDORA-EPEL-2016-7b9d323b2b (Fedora EPEL 5,
drupal7-features-2.10-1):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-7b9d323b2b

Fedora Security Update FEDORA-EPEL-2016-aded7e0561 (Fedora EPEL 6,
drupal7-features-2.10-1):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-aded7e0561

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.