Lỗi bỏ qua kiểm soát truy cập trong Drupal Advanced Search làm lộ nội dung block bị hạn chế

Lỗ hổng thiếu kiểm tra quyền trong Drupal Advanced Search cho phép Forceful Browsing. Vấn đề này ảnh hưởng đến Advanced Search từ phiên bản 0.0.0 đến 2.4.5.

• Module advanced_search của Drupal bị ảnh hưởng từ 0.0.0 đến mọi phiên bản nhỏ hơn 2.4.5.
• Advisory của Drupal hướng dẫn người dùng Advanced Search nâng cấp lên 2.4.5.
• Bằng chứng hiện có không xác định trạng thái của các nhánh song song hoặc các phiên bản nằm ngoài phạm vi nêu trên.

Drupal Advanced Search cung cấp chức năng cập nhật AJAX cho các block tìm kiếm nâng cao, facet và kết quả tìm kiếm. Endpoint AJAX công khai của module cho phép gửi các block ID tùy ý, nhưng module không kiểm tra đầy đủ quyền truy cập block trước khi trả về nội dung. Kẻ tấn công không cần xác thực có thể lấy nội dung của block bị hạn chế nếu biết hoặc đoán được machine ID của block đó. Điều kiện khai thác còn bao gồm việc block phải chứa nội dung nhạy cảm được bảo vệ bằng quyền truy cập hoặc giới hạn hiển thị. Điểm yếu đã được xác định là CWE-862, Missing Authorization. Bằng chứng hiện có không nêu tên tham số endpoint cụ thể hoặc chi tiết thay đổi trong bản sửa lỗi.

Điểm tiếp cận là qua mạng và endpoint bị ảnh hưởng có thể truy cập công khai. Đặc tính tấn công trong bản ghi cho biết không cần quyền đặc biệt, độ phức tạp cao và yêu cầu user interaction; advisory không giải thích cụ thể user interaction này là gì. Điều kiện thực tế được Drupal nêu là kẻ tấn công phải biết hoặc đoán machine ID của một block bị hạn chế, đồng thời block đó phải chứa nội dung nhạy cảm. Bản ghi chuẩn hóa không ghi nhận public exploit và không xác định trạng thái khai thác đã biết; điều này không chứng minh rằng không tồn tại exploit hoặc hành vi lạm dụng.

Kết quả kỹ thuật trực tiếp là người chưa xác thực có thể đọc nội dung của block mà cơ chế access hoặc visibility restriction lẽ ra phải bảo vệ. Phạm vi được giữ nguyên và đặc tính tác động trong bản ghi xác định ảnh hưởng thấp đến tính bí mật, không xác định tác động đến tính sẵn sàng. Bản ghi cũng có tác động thấp đến tính toàn vẹn, nhưng advisory không mô tả thao tác sửa đổi, nên hậu quả về tính toàn vẹn vẫn chưa rõ. Bằng chứng hiện có không cho thấy khả năng thực thi mã, chiếm quyền tài khoản hoặc xâm phạm rộng hơn vào Drupal.

Lỗi có thể làm lộ nội dung được thiết kế chỉ hiển thị cho người dùng đã xác thực hoặc đáp ứng các điều kiện giới hạn hiển thị. Mức độ ảnh hưởng phụ thuộc vào việc các block bị hạn chế có chứa dữ liệu nhạy cảm hay không. Tổ chức có thể phải nâng cấp module và rà soát các block nhạy cảm, nhưng bằng chứng hiện có không xác nhận dữ liệu đã bị truy cập hoặc một site cụ thể đã bị xâm nhập. Bản ghi không xác định tác động đến tính sẵn sàng của dịch vụ.

1. Nâng cấp Advanced Search lên 2.4.5, là bản phát hành cụ thể được advisory của Drupal nêu là giải pháp.
2. Kiểm tra lại toàn bộ inventory để bảo đảm không còn triển khai phiên bản nằm trong phạm vi bị ảnh hưởng, sau đó kiểm thử chức năng AJAX của search, facet và result block.
3. Nếu chưa thể nâng cấp ngay, coi các triển khai nằm trong phạm vi bị ảnh hưởng là có rủi ro và thực hiện đánh giá có kiểm soát đối với các block nhạy cảm cùng khả năng truy cập endpoint. Bằng chứng hiện có không cung cấp biện pháp giảm thiểu riêng nào được vendor xác nhận, vì vậy việc đánh giá này không nên được xem là bản sửa lỗi.

1. Kiểm kê các site đang cài module Advanced Search và đối chiếu phiên bản đã cài với ranh giới affected và fixed trong advisory.
2. Xác định các cấu hình tìm kiếm nâng cao, facet và search result block đang sử dụng chức năng AJAX công khai.
3. Rà soát quyền truy cập, giới hạn hiển thị và mức độ nhạy cảm của nội dung trong các block này.
4. Như một biện pháp phòng ngừa, kiểm tra web log và application log để tìm các yêu cầu chưa xác thực tới endpoint AJAX của module, đặc biệt các yêu cầu có block identifier. Bằng chứng hiện có không cung cấp IOC hoặc mẫu log cụ thể, và việc không thấy log phù hợp không chứng minh hệ thống an toàn.