S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 01 juillet 2011 No CERTA-2011-AVI-378

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Drupal

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité ;
• atteinte à l'intégrité des données ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

Drupal versions 7.0, 7.1 et 7.2.

3 Résumé

Une vulnérabilité dans Drupal permet de contourner les droits d'accès aux noeuds.

4 Description

Une vulnérabilité a été découverte dans le système de gestion des droits d'accès aux noeuds dans Drupal. Cette vulnérabilité n'est présente que si le site utilise un module de droits d'accès tel que content access ou forum access. L'exploitation de cette faille permet de contourner les restrictions d'accès aux noeuds.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Drupal SA-CORE-2011-002 du 30 juin 2011 :

  http://drupal.org/node/1204582
  

• Référence CVE CVE-2011-2687 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2687
  

Gestion détaillée du document

01 juillet 2011

version initiale.