El gestor de contenidos (CMS) Drupal ha publicado actualizaciones de seguridad de emergencia para abordar una vulnerabilidad crítica con exploits conocidos que podrían permitir la ejecución arbitraria de código PHP en algunas versiones de CMS. La semana pasada también hubo un parche muy importante seguridad para el CMS Drupal, un RCE, remote code execution con id CVE-2020-13671 permite subir ficheros maliciosos con doble extensión shell.php.txt, También hay varias actualizaciones de seguridad importantes y variadas (CSRF y SQL injection  Core - SQL injection in com_users list view) para el CMS Joomla!

Drupal emite una solución de emergencia (parche) para un error crítico con exploits conocidos

"De acuerdo con el cronograma de la ventana de lanzamiento de seguridad regular, el 25 de noviembre no sería normalmente una ventana de seguridad central", dijo Drupal.

"Sin embargo, esta versión es necesaria porque hay exploits conocidos para una de las dependencias del núcleo y algunas configuraciones de Drupal son vulnerables".

En este momento, más de 944,000 sitios web están utilizando versiones vulnerables de Drupal de un total de 1,120,941 según las estadísticas oficiales. "Estas estadísticas están incompletas; sólo los sitios web de Drupal que utilizan el módulo de estado de actualización se incluyen en los datos", dice Drupal.

Drupal también es utilizado por el 2.5% de todos los sitios web con sistemas de administración de contenido, lo que lo convierte en el cuarto CMS más popular en Internet, después de WordPress (63.8%), Shopify (5.1%) y Joomla (3.6%).

Actualizaciones de seguridad para todas las versiones afectadas

Según el aviso de seguridad de Drupal, la vulnerabilidad es causada por dos errores en la biblioteca PEAR Archive_Tar utilizada por el sistema de gestión de contenido (CMS) rastreado como CVE-2020-28948 y CVE-2020-28949.

• https://www.drupal.org/sa-core-2020-013

La vulnerabilidad crítica de ejecución del código Drupal se puede aprovechar si el CMS está configurado para permitir y procesar la carga de archivos .tar, .tar.gz, .bz2 o .tlz.

Se emitieron varias actualizaciones de seguridad de Drupal para corregir el error y permitir a los administradores parchear rápidamente sus servidores para protegerlos de posibles ataques.

Drupal recomienda instalar las siguientes actualizaciones en los servidores afectados:

•     Los usuarios de Drupal 9.0 deben actualizar a Drupal 9.0.9
•     Los usuarios de Drupal 8.9 deben actualizar a Drupal 8.9.10
•     Los usuarios de Drupal 8.8 o anteriores deben actualizar a Drupal 8.8.12
•     Los usuarios de Drupal 7 deben actualizar a Drupal 7.75

"Las versiones de Drupal 8 anteriores a 8.8.x están al final de su vida útil y no reciben cobertura de seguridad", dijo el equipo de seguridad de Drupal.

Medidas de mitigación también disponibles

Las medidas de mitigación también están disponibles para los administradores que no pueden actualizar inmediatamente la instalación de Drupal en sus servidores.

Para hacerlo, se recomienda a los administradores del sitio que bloqueen a los usuarios que no son de confianza para que no carguen archivos .tar, .tar.gz, .bz2 o .tlz para mitigar temporalmente el problema.

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) del Departamento de Seguridad Nacional también ha emitido una alerta hoy instando a los administradores y usuarios a actualizar a las versiones parcheadas de Drupal.

• https://us-cert.cisa.gov/ncas/current-activity/2020/11/27/drupal-releases-security-updates

Drupal core - Critical - Remote code execution - SA-CORE-2020-012

La semana pasada, Drupal parcheó otra vulnerabilidad crítica de ejecución remota de código rastreada como CVE-2020-13671 y causada por una desinfección incorrecta de los nombres de los archivos cargados.

• https://www.drupal.org/sa-core-2020-012

"Preste especial atención a las siguientes extensiones de archivo, que deben considerarse peligrosas incluso cuando van seguidas de una o más extensiones adicionales: phar, PHP, pl, py, cgi, asp, js, HTML, htm y phtml", dijo la compañía.

Un parche seguridad importante para el CMS Drupal, un RCE, remote code execution con id CVE-2020-13671 permite subir ficheros maliciosos con doble extensión filename.php.txt

• phar
• php
• pl
• py
• cgi
• asp
• js
• html
• htm
• phtml

"Esta lista no es exhaustiva, así que evalúe las preocupaciones de seguridad para otras extensiones no comunicadas caso por caso".