De quoi il s’agit

Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in verschiedenen Drupal Erweiterungen ausnutzen, um Zugriffsbeschränkungen zu umgehen, geschützte oder sensible Inhalte offenzulegen, Benutzerkonten zu übernehmen, unberechtigte Änderungen oder Löschungen vorzunehmen, Zahlungsstatus zu manipulieren sowie Cross-Site-Scripting-Angriffe auszuführen.

Dans quelles conditions ?

Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• Zugriffsbeschränkungen zu umgehen
• geschützte oder sensible Inhalte offenzulegen
• Benutzerkonten zu übernehmen
• unberechtigte Änderungen oder Löschungen vorzunehmen
• Zahlungsstatus zu manipulieren sowie Cross-Site-Scripting-Angriffe auszuführen

Suis-je concerné ?

Concernés selon le BSI :

• Open Source Drupal AI <1.4.8
• Open Source Drupal Advanced Search <2.4.5
• Open Source Drupal AI Translate <1.4.1
• Open Source Drupal Calculate Working Days <2.0.3
• Open Source Drupal Component Blocks <1.2.7
• Open Source Drupal Email Verification / SMS Verification / OTP Verification <2.4.0
• Open Source Drupal Islandora <2.19.0
• Open Source Drupal Jsonapi Role Access <2.0.2
• Open Source Drupal Mailer Plus Log <1.2.7
• Open Source Drupal Media Library Importer <2.1.6
• Open Source Drupal Monobank Payment API <1.0.3
• Open Source Drupal PhotoSwipe <5.0.9

et 2 autres

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• Open Source Drupal AI 1.4.8
• Open Source Drupal Advanced Search 2.4.5
• Open Source Drupal AI Translate 1.4.1
• Open Source Drupal Calculate Working Days 2.0.3
• Open Source Drupal Component Blocks 1.2.7
• Open Source Drupal Email Verification / SMS Verification / OTP Verification 2.4.0
• Open Source Drupal Islandora 2.19.0
• Open Source Drupal Jsonapi Role Access 2.0.2
• Open Source Drupal Mailer Plus Log 1.2.7
• Open Source Drupal Media Library Importer 2.1.6
• Open Source Drupal Monobank Payment API 1.0.3
• Open Source Drupal PhotoSwipe 5.0.9

La faille est-elle déjà exploitée ?

Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.