Risque(s)
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
Systèmes affectés
- Drupal 9.x versions antérieures à 9.0.9
- Drupal 8.9.x versions antérieures à 8.9.10
- Drupal 8.8.x versions antérieures à 8.8.12
- Drupal 7.x versions antérieures à 7.75
L'éditeur ne maintient plus les versions 8 antérieures à 8.8.x. Les utilisateurs d'une version obsolète doivent préalablement mettre à jour Drupal pour bénéficier des correctifs de sécurité.
Résumé
De multiples vulnérabilités ont été découvertes dans Drupal core. Elles permettent à un attaquant de provoquer une atteinte à l'intégrité des données et une atteinte à la confidentialité des données.
Contournement provisoire
L'éditeur propose comme mesure de contournement pour ces vulnérabilités de limiter aux utilisateurs de confiance le téléchargement des fichiers .tar, .tar.gz, .bz2 et .tlz.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Drupal sa-core-2020-013 du 25 novembre 2020
https://www.drupal.org/sa-core-2020-013 - Référence CVE CVE-2020-28948
https://www.cve.org/CVERecord?id=CVE-2020-28948 - Référence CVE CVE-2020-28949
https://www.cve.org/CVERecord?id=CVE-2020-28949
