Prilikom upotrebe programskog paketa Drupal, točnije njegovog dodatka Fill PDF, uočene su dvije sigurnosne ranjivosti. Radi se o besplatnom programu koji omogućava objavljivanje, upravljanje i organizaciju raznih sadržaja na web stranicama. Propusti se javljaju kao posljedica neispravne provjere određenih ulaznih podataka te zbog pogreške u modulu fillpdf. module. Napadači ranjivosti mogu iskoristiti za zaobilaženje pojedinih sigurnosnih ograničenja i pokretanje proizvoljnog PHP koda. Svim se korisnicima savjetuje nadogradnja na ispravljenu inačicu.

_______________________________________________________________________________

ID upozorenja: ADV-LSS-2012-01-001
Naslov: Dvije ranjivosti programskog paketa Drupal 
Datum: 2012-01-12
OS: Windows, UNIX/Linux
Programski paket: Drupal 
Tip sigurnosnog problema: kompromitacija ranjivog sustava, zaobilazenje ogranicenja, 
  pokretanje proizvoljnog PHP koda
Rizik: Srednji
_______________________________________________________________________________

[1]  Uvod

U radu programskog paketa Drupal, odnosno u njegovom dodatku Fill PDF, uocena su dva 
nova nedostataka.

Radi se o CMS (eng. Content Management System) sustavu koji se koristi za upravljanje 
web sadrzajima. Njegov dodatak Fill PDF je modul koji se koristi za ispunjavanje 
PDF obrazaca. 

Bitnije od njegovih karakteristika su:
- daje mogucnost za ispunjavanje polja na PDF obrascima koji se kasnije spremaju na 
racunalu,
- omogucuje promjenu vec unesenih vrijednosti,
- omogucuje spremanje novih vrijednosti,
- smanjuje vrijeme rada i dr. 

Vise informacija dostupno je na sljedecim adresama:

Drupal:
http://drupal.org/

Fill PDF:
http://drupal.org/project/fillpdf

-------------------------------------------------------------------------------

[2]  Sigurnosni problem

Ranjivosti uocene u radu programskog paketa Drupal, odnosno u njegovom dodatku Fill PDF, napadacima omogucuju kompromitaciju ranjivog sustava i zaobilazenje sigurnosnih ogranicenja.

-------------------------------------------------------------------------------

[3]  Sigurnosna zastita

Svim se korisnicima preporuca nadogradnja na ispravljenu inacicu. Vise detalja dostupno 
je na stranici proizvodjaca.

-------------------------------------------------------------------------------

[4]  Analiza

* Prva od navedenih ranjivosti javlja se kao posljedica nedostajanja argumenta u funkciji 
"fillpdf_merge_pdf()", odnosno u modulu fillpdf.module. Napadaci to mogu iskoristiti 
za zaobilazenje autorizacijskih mehanizama pomocu posebno oblikovanih web zahtjeva.

* Druga ranjivost javlja se kao posljedica neispravne provjere ulaznih podataka predanih 
preko predlozaka u funkciji "fillpdf_form_export_decode()" u datoteci fillpdf.admin.inc prije 
koristenja u pozivu "eval()". To se moze iskoristiti za pokretanje proizvoljnog PHP koda.

Uspjesna zloupotreba ovih ranjivosti podrazumijeva da potencijalni napadac ima "administer PDFs" ovlasti.

Ranjivosti su potvrdjene u imacicama prije 6.x-1.16 te i u inacicama prije 
inacica 7.x-1.2. 

-------------------------------------------------------------------------------

[5]  Credit

Informacije o propustima otkrili su:

1) Christian Johansson i
2) Liam Morland.

Tekst izvorne preporuke nalazi se na sljedecoj web adresi:

SA-CONTRIB-2012-003:
http://drupal.org/node/1394428.

-------------------------------------------------------------------------------

[6]  LSS/ZESOI/FER  

LSS, www.lss.hr - laboratorij za sustave i signale pri Zavodu za elektronicke 
  sustave i obradbu informacija Fakulteta elektrotehnike i racunarstva  
  Sveucilista u Zagrebu  

_______________________________________________________________________________