Af Eskil Sørensen, 20/03/23
Drupal har udsendt en advisory til håndtering af en access bypass-sårbarhed, som påvirker en række versioner af Drupal. Dette fremgår af Drupals hjemmeside, som også er refereret af CISA.
Den anses for at være ’moderat kritisk’ og handler om at et evt. vellykket cross site scriptingangreb kan skabe indblik i en phpinfo-side. Informationerne her kan i givet fald anvendes til at eskalere angrebet, skriver Drupal i sin advisory.
phpinfo() er en indbygget funktion i php-programmeringssproget, der viser detaljerede oplysninger om php-installationen på en server. Når phpinfo()-funktionen kaldes i en php-skript, genererer den en side med omfattende oplysninger om php-installationen, herunder detaljer om den aktuelle php-version, serverens operativsystem, indstillinger for php-konfigurationen, kompileringsindstillinger, installerede udvidelser og meget mere. Disse oplysninger kan afsløre detaljer, som kan bruges af potentielle angribere.
De berørte systemer er Drupal 10.0 (opdateres til 10.0.5), Drupal 9.5 (opdateres til 9.5.5), Drupal 9.4 (opdateres til 9.4.12) og Drupal 7 (opdateres til 7,95).
Links:
https://www.cisa.gov/news-events/alerts/2023/03/17/drupal-releases-security-advisory-address-vulnerability-drupal-core
https://www.drupal.org/sa-core-2023-004