0-Day en Drupal permitió el Panamá Papers (Parchea YA!)
13 jul. 2016, 12:06:00
En la historia de Panamá Papers se creía que la fuga de información había sido el resultado de una vulnerabilidad sin parchear en Drupal, el popular CMS de código abierto.
Ahora, se ha confirmado que los datos fueron obtenidos a través de la explotación de una vulnerabilidad 0-Day en Drupal que permitió a los atacantes entrar en sistema del despacho de abogados y robar 11,5 millones de archivos, alrededor de 2,6 Terabytes de datos.
El equipo de seguridad de Drupal ha anunciado varios parches críticos que abordan problemas de seguridad en distintos módulos de Drupal, incluyendo varias vulnerabilidades de ejecución de código remoto (RCE) muy crítico. Según la advertencia, una vulnerabilidad crítica (PSA-2016-001 – 22/25) permite ejecución remota de código y afectaría hasta 10.000 sitios web Drupal. Sin embargo, «el núcleo de Drupal no es afectado y por lo tanto no todos los sitios se verían afectados».
Aunque no se han publicado los detalles técnicos, el equipo ha advertido a sus usuarios para que apliquen los próximos parches de forma urgente, sin dar oportunidad a los delincuentes que están esperando los detalles del error para poder aprovecharlos dentro de las próximas horas y días.
Las actualizaciones son las siguientes:
- RESTWS – Highly critical – Remote code execution – SA-CONTRIB-2016-040
- Coder – Highly Critical – Remote Code Execution – SA-CONTRIB-2016-039
- Webform Multiple File Upload – Critical – Remote Code Execution – SA-CONTRIB-2016-038
Fuente: The Hacker News
