Lỗi ủy quyền trong Drupal Entity Reference Manager (Merge entities) cho phép xóa entity trái phép

Lỗ hổng ủy quyền không chính xác trong Drupal Entity Reference Manager (Merge entities) cho phép Forceful Browsing. Vấn đề này ảnh hưởng đến các phiên bản Entity Reference Manager (Merge entities) từ 0.0.0 đến 1.0.3.

• Drupal Entity Reference Manager (Merge entities), project machine name entity_reference_manager, được xác định là bị ảnh hưởng.
• Bản ghi chuẩn hóa nêu phạm vi affected từ 0.0.0 với điều kiện lessThan 1.0.3; advisory của Drupal cũng nêu các phiên bản affected là <1.0.3.
• Advisory xác nhận bản sửa trong Entity Reference Manager 1.0.3.
• Không có nhánh phát hành song song hoặc trạng thái của các nhánh khác được xác định trong bằng chứng hiện có.

Entity Reference Manager (Merge entities) là module quản trị nâng cao của Drupal để xác định, phân tích và thay thế các tham chiếu entity. Lỗi thuộc nhóm CWE-863 Incorrect Authorization: module không hạn chế đầy đủ quyền truy cập đối với các thao tác quản lý entity. Theo advisory, người dùng chỉ có khả năng xem nội dung có thể truy cập chức năng gộp entity và xóa tùy ý các node, taxonomy term hoặc media entity. Đầu vào cụ thể do kẻ tấn công kiểm soát, route, tham số và định dạng request chưa được mô tả trong bằng chứng hiện có. Phạm vi tác động được xác nhận là các thao tác quản lý entity trên site Drupal; bằng chứng hiện có chưa xác lập khả năng thực thi mã hoặc làm lộ dữ liệu.

Lỗi được khai thác thông qua bề mặt ứng dụng Drupal có cung cấp chức năng quản lý entity. Advisory đánh giá độ phức tạp tấn công ở mức cơ bản và không yêu cầu user interaction. Điều kiện quyền được nêu là người dùng có thể xem nội dung; việc tài khoản anonymous có đáp ứng điều kiện này hay không phụ thuộc cấu hình site và chưa được xác định. Public exploit, khai thác đang diễn ra hoặc chiến dịch cụ thể chưa được xác lập trong bằng chứng hiện có.

Lỗi phá vỡ ranh giới quyền giữa khả năng xem nội dung và các thao tác quản lý hoặc xóa entity. Kết quả kỹ thuật được xác nhận là truy cập trái phép vào chức năng gộp entity và khả năng xóa tùy ý node, taxonomy term hoặc media entity. Hậu quả thực tế có thể là mất tính toàn vẹn và tính sẵn sàng của nội dung, cũng như phải khôi phục từ bản sao lưu hoặc kiểm tra lịch sử thay đổi. Bằng chứng hiện có không cho thấy lỗi dẫn tới thực thi mã, lộ thông tin xác thực hoặc kiểm soát toàn bộ máy chủ.

Tác động trực tiếp đã được xác nhận là người dùng có quyền xem nội dung có thể thực hiện chức năng gộp entity và xóa các node, taxonomy term hoặc media entity ngoài phạm vi được phép. Điều này có thể làm mất tính toàn vẹn nội dung, gây gián đoạn xuất bản và tạo chi phí khôi phục dữ liệu hoặc rà soát thay đổi. Các site sử dụng entity làm nội dung quan trọng có thể chịu ảnh hưởng vận hành lớn hơn nếu thao tác xóa trái phép lan rộng. Bằng chứng hiện có không xác nhận việc lộ dữ liệu, chiếm quyền máy chủ hoặc xâm phạm thông tin xác thực.

1. Nâng cấp Entity Reference Manager (Merge entities) lên đúng phiên bản 1.0.3, là phiên bản được advisory của Drupal xác nhận đã sửa lỗi.
2. Sau khi nâng cấp, kiểm tra inventory và lockfile để bảo đảm không còn deployment nào sử dụng phiên bản affected.
3. Rà soát các role có quyền xem nội dung và quyền quản lý entity, đặc biệt trên các site có dữ liệu node, taxonomy hoặc media quan trọng.
4. Nếu chưa thể nâng cấp ngay, coi các site sử dụng phiên bản affected là có nguy cơ và tạm thời hạn chế quyền truy cập vào các chức năng quản lý entity ở mức phù hợp với vận hành. Đây là biện pháp phòng ngừa chung, không phải mitigation được vendor xác nhận và không thay thế việc nâng cấp.

1. Kiểm kê các site Drupal đang bật module entity_reference_manager và ghi nhận phiên bản chính xác từ Composer hoặc metadata triển khai.
2. Xác định các instance nằm trong phạm vi affected version, sau đó đối chiếu quyền của các role có khả năng xem nội dung.
3. Trong môi trường kiểm thử, xác minh rằng role chỉ được xem nội dung không thể truy cập các thao tác gộp entity hoặc thao tác xóa entity.
4. Rà soát audit log, Drupal log và lịch sử nội dung để tìm các lần gộp hoặc xóa bất thường đối với node, taxonomy term và media entity. Đây là biện pháp giám sát phòng ngừa, không phải indicator được vendor xác nhận.
5. Việc không thấy log bất thường không chứng minh site an toàn, đặc biệt khi bằng chứng hiện có không nêu event log hoặc IOC cụ thể.