Si tu web usa Drupal, actualiza para evitar estas vulnerabilidades
Las versiones de Drupal anteriores a:
- Drupal 9.4.3;
- Drupal 9.3.19;
- Drupal 7.91.
Se han publicado cuatro vulnerabilidades en el core de Drupal, una crítica y tres de severidad alta que afectan a la sanitización de los nombres de archivo .httaccess, al acceso a ficheros del módulo de imagen, a la validación de formularios en el API (Application Programming Interface) y a la validación de los dominios de iframes de media oEmbed. La más crítica de estas vulnerabilidades podría llevar a la ejecución de archivos de configuración en el servidor Apache.
Se recomienda actualizar Drupal a la última versión disponible. Para ello, puedes acceder a los siguientes enlaces:
- Si utilizas Drupal 9.4, actualiza a Drupal 9.4.3.
- Si utilizas Drupal 9.3, actualiza a Drupal 9.3.19.
- Si utilizas Drupal 7, actualiza a Drupal 7.91.
Todas las versiones de Drupal 9, anteriores a 9.3.x, están al final de su ciclo de vida y no reciben actualizaciones de seguridad. Drupal 8 ha llegado al final de su vida útil. Drupal 7 solo está afectado por la vulnerabilidad del módulo de imagen.
Es importante proteger el gestor de contenidos para evitar que sea vulnerable. Sigue este checklist para evitar posibles ataques de ciberdelincuentes, algunos de ellos explicados en casos reales:
- ¿Humano o bot? Protege tu web con sistemas captcha
- Celebra el Día Mundial de las Contraseñas, la puerta de entrada a todos tus servicios
- Qué es una DMZ y cómo te puede ayudar a proteger tu empresa
- Historias reales: web segura cumpliendo la ley
- 5 razones para hacer copias de seguridad de tu web
¿Te gustaría estar a la última con la información de nuestros avisos? Anímate y suscríbete a nuestros boletines, al canal de Telegram @ProtegeTuEmpresa, al perfil de twitter @ProtegeEmpresa o síguenos en Facebook. Serás el primero en enterarte de los últimos avisos de seguridad para empresas. También ponemos a tu disposición la Línea gratuita de Ayuda en Ciberseguridad de INCIBE, 017; y nuestros canales de chat de WhatsApp (900 116 117) y Telegram (@INCIBE017), o mediante el formulario web.
- La vulnerabilidad crítica que afecta a la sanitización de los nombres de archivo con extensiones sospechosas permite, de no ser parcheada, que ficheros con la extensión .httaccess (de configuración del servidor Apache) puedan llegar a ejecutarse en el servidor.
- El resto de vulnerabilidades afectan:
- al módulo de imagen que no chequea correctamente el acceso a ficheros fuera de los directorios estándar;
- a la API (Application Programming Interface) de formularios, que evalúa incorrectamente, en algunas circunstancias, el acceso a elementos de formularios añadidos a través de módulos o temas contribuidos por terceros;
- a la validación de los dominios de las rutas de los iframes de media oEmbed que puede llevar a ataques de cross-site-scripting o robo de cookies entre otras.
Tu soporte técnico puede consultar una solución más detallada en el área de avisos de INCIBE-CERT.
