.:: Securnetwork.net Blog - Massimo Rabbi ::.

Gli sviluppatori di Drupal CMS hanno rilasciato un advisory nel quale è stata evidenziata una potenziale falla di tipo SQL injection.
La funzione taxonomy_select_nodes non fa controlli sulle variabili passate alle query SQL, lasciando cosi’ spazio alla possibilità di creare istruzioni da passare al database.
Un ipotetico attaccante sarebbe dunque in grado di sfruttare la vulnerabilità per estrarre contenuti sensibili e protetti dal database.

Nonostante infatti il modulo taxonomy verifichi il contenuto prima di inoltrarlo, altri moduli non è detto che lo facciano e questo significa che la funzione in questione potrebbe ricevere parametri non filtrati.
L’advisory che questo problema interessa taxonomy_menu, ajaxLoader e ubrowser.
Secondo gli sviluppatori le versioni di Drupal precedenti la 4.7.9 e la 5.4 sono affette dal bug.
Il consiglio è comunque quello di scaricare le versioni 4.7.10 e la 5.5 visto che le due precedentemente citate nonostante abbiano corretto il problema di sicurezza hanno introdotto un ulteriore bug.
Gli sviluppatori oltre alle versioni aggiornate hanno fornito anche i relativi files .patch.

RIFERIMENTI:
* Drupal core - SQL Injection possible when certain contributed modules are enabled, advisory on Drupal.org
* Security updates for Drupal CMS, by Heise Security