Lỗ hổng Cross-site scripting trong Drupal CKEditor 4 LTS - WYSIWYG HTML editor

Lỗ hổng về việc trung hòa không đúng đầu vào trong quá trình tạo trang web ('Cross-site Scripting') trong Drupal CKEditor 4 LTS - WYSIWYG HTML editor cho phép Cross-Site Scripting (XSS). Vấn đề này ảnh hưởng đến CKEditor 4 LTS - WYSIWYG HTML editor: từ 1.0.0 trước 1.0.1.

• Module Drupal ckeditor_lts, còn được mô tả là CKEditor 4 LTS - WYSIWYG HTML editor, bị ảnh hưởng từ 1.0.0 trước 1.0.1.
• Đối với triển khai Drupal 9.4+, thông báo của Drupal hướng dẫn nâng cấp ckeditor_lts lên 1.0.1.
• Bằng chứng hiện có không xác lập thêm nhánh bị ảnh hưởng hoặc trạng thái của các nhánh triển khai khác. Không nên suy ra rằng mọi phiên bản hoặc nhánh song song đều không bị ảnh hưởng chỉ từ hướng dẫn sửa lỗi nêu trên.

Đây là lỗi CWE-79, trong đó dữ liệu đầu vào được xử lý khi tạo trang web không được trung hòa đúng cách, dẫn đến Cross-Site Scripting (XSS). Thông báo của Drupal cho biết nguyên nhân liên quan đến việc thư viện CKEditor phát hiện CDATA không chính xác và có thể ảnh hưởng đến module Drupal tích hợp, đóng gói mã này. Điều kiện phơi nhiễm gồm việc bật chế độ full-page editing hoặc bật các phần tử CDATA trong cấu hình Advanced Content Filtering, mặc định gồm các phần tử script và style. Kẻ tấn công cũng phải có permission cho phép truy cập phiên bản CKEditor đang được sử dụng. Bằng chứng hiện có không mô tả parser, đường đi xử lý sanitization hoặc định dạng payload cụ thể.

Lỗ hổng có thể bị tiếp cận qua ứng dụng web từ mạng, không phải chỉ từ máy cục bộ. Kẻ tấn công cần quyền ở mức thấp hoặc một tài khoản có permission truy cập CKEditor instance. Độ phức tạp được ghi nhận là thấp, nhưng cần có user interaction để nội dung bị xử lý hoặc được hiển thị. Việc khai thác còn phụ thuộc vào cấu hình full-page editing hoặc các phần tử CDATA trong Advanced Content Filtering. Bản ghi chuẩn hóa đánh dấu không có public exploit, nhưng trạng thái khai thác thực tế được biết đến là không xác định.

Khai thác thành công có thể thực thi script do kẻ tấn công kiểm soát trong trình duyệt của người dùng thuộc ngữ cảnh site Drupal. Tùy thuộc quyền của nạn nhân và nội dung trang, script có thể truy cập dữ liệu mà người dùng có thể xem hoặc tác động đến nội dung và thao tác trong phạm vi trình duyệt đó. Bản ghi đánh giá hỗ trợ tác động đến tính bảo mật và tính toàn vẹn ở mức giới hạn, nhưng không xác định tác động đến tính sẵn sàng. Thông báo hiện có không mô tả việc thực thi mã phía máy chủ, chiếm quyền đặc quyền hoặc truy cập trực tiếp cơ sở dữ liệu.

Kẻ tấn công có quyền truy cập CKEditor instance có thể đưa nội dung dẫn đến thực thi script trong trình duyệt của người dùng khi nội dung được xử lý hoặc hiển thị.

• Tùy thuộc vào quyền của nạn nhân, tác động có thể bao gồm đọc dữ liệu mà nạn nhân được phép xem hoặc thay đổi nội dung và thao tác trong phạm vi phiên trình duyệt bị ảnh hưởng.
• Các biện pháp xử lý có thể yêu cầu kiểm tra lại role, permission và cấu hình editor trên nhiều site.
• Bằng chứng hiện có không xác nhận việc rò rỉ dữ liệu, chiếm quyền tài khoản, xâm nhập máy chủ hoặc gián đoạn dịch vụ.

1. Đối với triển khai Drupal 9.4+, nâng cấp module ckeditor_lts lên 1.0.1, là bản sửa được thông báo Drupal nêu rõ.
2. Kiểm kê phiên bản module thực tế trên toàn bộ site và xử lý mọi triển khai nằm từ 1.0.0 trước 1.0.1.
3. Nếu chưa thể nâng cấp ngay, rà soát full-page editing, các phần tử CDATA trong Advanced Content Filtering và permission truy cập CKEditor instance. Có thể hạn chế các điều kiện này như một biện pháp giảm rủi ro tạm thời, nhưng nguồn Drupal không mô tả đây là một workaround đầy đủ thay thế cho việc nâng cấp.
4. Sau khi cập nhật, kiểm tra lại cấu hình editor, quyền của các role và các quy trình tạo hoặc chỉnh sửa nội dung có sử dụng CKEditor.

1. Kiểm kê các Drupal site và xác định những site cài module ckeditor_lts.
2. Kiểm tra phiên bản module theo ranh giới bị ảnh hưởng được nêu trong affected_summary, thay vì chỉ dựa vào phiên bản Drupal core.
3. Rà soát cấu hình CKEditor để xác định full-page editing có được bật hay không và Advanced Content Filtering có cho phép các phần tử CDATA, đặc biệt là script hoặc style, hay không.
4. Rà soát role và permission để xác định những tài khoản có quyền truy cập CKEditor instance.
5. Có thể kiểm tra nhật ký ứng dụng, lịch sử chỉnh sửa nội dung và telemetry bảo mật trình duyệt để tìm hoạt động bất thường liên quan đến nội dung editor. Đây chỉ là biện pháp kiểm tra thận trọng, vì nguồn hiện có không cung cấp IOC hoặc sự kiện log đặc hiệu. Không thấy log đáng ngờ không chứng minh rằng hệ thống an toàn.