In questo articolo Indice dei contenuti 2 sezioni
Drupal ha rilasciato aggiornamenti di sicurezza per correggere due vulnerabilità critiche che permetterebbero a un aggressore di eseguire codice da remoto sui siti costruiti con qualunque versione supportata del noto content management system. Le falle riguardano il modulo Field UI, che fa parte del nucleo del software, e il modulo aggiuntivo Entity List. Il problema non è di poco conto, perché gli stessi sviluppatori temono che gli exploit possano comparire nel giro di pochissimo tempo.
Già all’inizio della settimana il team di sicurezza del progetto aveva diffuso un avviso preventivo, invitando gli amministratori a programmare per tempo gli interventi. “Il Drupal Security Team esorta a riservare del tempo per gli aggiornamenti del core in quel momento, perché gli exploit potrebbero essere sviluppati nel giro di ore o giorni”, si leggeva nella comunicazione. Il consiglio era anche quello di portarsi all’ultima release correttiva disponibile per la propria versione di Drupal prima del 14 ottobre, così da risolvere eventuali intoppi legati all’aggiornamento prima dell’arrivo della patch di sicurezza vera e propria.
Due falle e più di un milione di siti potenzialmente esposti
Per chi non lo conoscesse, Drupal è una piattaforma open source e gratuita pensata per creare e gestire siti web. È particolarmente diffusa tra enti governativi, università e organizzazioni non profit, e secondo i dati riportati dal progetto stesso sono oltre un milione i siti che girano su questo sistema. Numeri che spiegano bene perché un difetto del genere meriti attenzione immediata.
Nella divulgazione dei dettagli tecnici gli sviluppatori hanno chiarito che “tutte le versioni attualmente supportate di Drupal core sono interessate”. La prima vulnerabilità colpisce il modulo Field UI e può consentire l’esecuzione di codice arbitrario sui server coinvolti. La seconda invece riguarda Entity List, un modulo contribuito dalla comunità che serve a creare elenchi di entità senza passare da Views, e anche in questo caso apre la strada all’esecuzione di codice da remoto.
C’è però un dettaglio importante. Secondo l’avviso ufficiale, la falla nel Field UI non può essere sfruttata usando soltanto il core di Drupal. Sono i moduli aggiuntivi a offrire diversi percorsi di attacco, e almeno uno di questi non richiede alcuna autenticazione. Anche il codice personalizzato può esporre la funzionalità vulnerabile. Per la falla di Entity List il discorso è molto simile, dato che serve un’interazione con moduli contribuiti o codice custom e anche qui esiste almeno un percorso di sfruttamento noto che non richiede credenziali.
Quali versioni installare e cosa fare se l’aggiornamento non è possibile
Agli amministratori viene raccomandato di aggiornare il core alle versioni 10.6.19, 11.3.19 oppure 11.4.10, a seconda del ramo di rilascio utilizzato, e di portare Entity List alla versione 3.0.10. Gli sviluppatori ricordano inoltre che “tutte le versioni di Drupal precedenti alla 10.6.x, così come tutte le versioni di Drupal 11 antecedenti alla 11.3.x, hanno raggiunto la fine del ciclo di vita e non sono più supportate”. Chi utilizza ancora quelle release, in pratica, non riceverà alcuna correzione.
Le falle toccano anche le versioni preliminari di Drupal 12 precedenti alla beta2, che comunque non sono pensate per gli ambienti di produzione. La versione stabile 12.0, quando arriverà, includerà già le correzioni per entrambi i problemi.
Per chi non riesce ad aggiornare subito esiste una soluzione temporanea. La mitigazione suggerita consiste nel disinstallare il modulo Field UI del core, identificato come field_ui, misura che viene indicata come efficace. Il servizio Drupal Steward, infine, offre protezione contro alcuni vettori di attacco già noti ma non copre ogni possibile exploit.
Fonte: TecnoAndroid