De quoi il s’agit

Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein Angreifer kann mehrere Schwachstellen in Drupal ausnutzen, um Datenbankinhalte zu manipulieren oder auszulesen, Zugriffsbeschränkungen und Authentifizierungsmechanismen zu umgehen, vertrauliche Informationen offenzulegen, Cross Site Scripting Angriffe auszuführen, Benutzer auf manipulierte Webseiten umzuleiten, SAML-Authentifizierungen zu beeinflussen oder wiederzuverwenden, interne Ressourcen über SSRF anzusprechen sowie unberechtigt Dateien auf den Server hochzuladen.

Dans quelles conditions ?

Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• Datenbankinhalte zu manipulieren oder auszulesen
• Zugriffsbeschränkungen
• Authentifizierungsmechanismen zu umgehen
• vertrauliche Informationen offenzulegen
• Cross Site Scripting Angriffe auszuführen
• Benutzer auf manipulierte Webseiten umzuleiten
• SAML-Authentifizierungen zu beeinflussen oder wiederzuverwenden
• interne Ressourcen über SSRF anzusprechen sowie unberechtigt Dateien auf den Server hochzuladen

Suis-je concerné ?

Concernés selon le BSI :

• Open Source Drupal amazee.ai Private AI Provider <1.3.7
• Open Source Drupal amazee.ai Private AI Provider <1.4.3
• Open Source Drupal Central Authentication System (CAS) <2.0.4
• Open Source Drupal Central Authentication System (CAS) <2.1.3
• Open Source Drupal CSP Log <1.0.2
• Open Source Drupal Feed Block <2.0.2
• Open Source Drupal Feed Block <3.0.2
• Open Source Drupal Key Auth <2.2.4
• Open Source Drupal Patreon
• Open Source Drupal SafeDelete <1.0.88
• Open Source Drupal SAML SSO – Service Provider <3.2.0
• Open Source Drupal Taxonomy Term Glossary <4.6.0

et 2 autres

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• Open Source Drupal amazee.ai Private AI Provider 1.3.7
• Open Source Drupal amazee.ai Private AI Provider 1.4.3
• Open Source Drupal Central Authentication System (CAS) 2.0.4
• Open Source Drupal Central Authentication System (CAS) 2.1.3
• Open Source Drupal CSP Log 1.0.2
• Open Source Drupal Feed Block 2.0.2
• Open Source Drupal Feed Block 3.0.2
• Open Source Drupal Key Auth 2.2.4
• Open Source Drupal SafeDelete 1.0.88
• Open Source Drupal SAML SSO – Service Provider 3.2.0
• Open Source Drupal Taxonomy Term Glossary 4.6.0
• Open Source Drupal Ultimate Table Field 1.1.1

La faille est-elle déjà exploitée ?

Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.