Drupal corrige una vulnerabilidad crítica de ejecución de código remoto (RCE) en el núcleo, accesible sin necesidad de iniciar sesión a través de módulos de terceros
El núcleo de Drupal incluye una vulnerabilidad crítica de ejecución remota de código localizada en el módulo Field UI, la cual fue solucionada mediante actualizaciones lanzadas en fechas recientes. De acuerdo con el equipo de seguridad, por sí solo el núcleo no permite que un atacante alcance dicho fallo, pero existen varias rutas de explotación a través de módulos aportados por terceros, incluyendo al menos una vía conocida que no requiere inicio de sesión. La falla también puede quedar expuesta mediante código personalizado.
Para mitigar el problema, las versiones de las ramas soportadas deben actualizarse a los lanzamientos correctos proporcionados en el aviso, mientras que las versiones anteriores que ya han finalizado su ciclo de vida no reciben un parche oficial. Como medida alternativa de protección temporal para aquellos sitios que no puedan actualizar de inmediato, se recomienda desinstalar el módulo Field UI, aunque esto inhabilite las páginas administrativas para la gestión de campos. Asimismo, existen servicios de cortafuegos de aplicaciones web que bloquean ciertos vectores de ataque conocidos, y se ha reportado una vulnerabilidad crítica similar en el módulo Entity List.
El fallo en Field UI permitía que un paso previo al renderizado ejecutara funciones ejecutables de PHP indicadas en las propiedades de las filas de las tablas administrativas sin realizar ninguna verificación previa sobre el código invocado. Las nuevas actualizaciones modifican el código para evitar la ejecución de dichas funciones, leyendo directamente el valor de la región correspondiente. Adicionalmente, las mismas versiones del núcleo corrigen fallos de seguridad moderados de tipo cross-site scripting en otros módulos que requieren la participación de usuarios autenticados.