Faille Drupal critique : Field UI expose à l’exécution de code
Une faille Drupal critique dans Field UI permet d'exécuter du code à distance. Correctifs publiés le 14 octobre.
Une faille Drupal critique vient d’être corrigée dans le cœur du CMS. Elle touche le module Field UI. Ainsi, un attaquant pourrait exécuter du code sur le serveur du site. Les correctifs ont été publiés le 14 octobre.
Cependant, le cœur de Drupal ne suffit pas à exploiter la vulnérabilité. Le risque dépend aussi des modules tiers installés. Les administrateurs doivent donc regarder bien au-delà de leur version de Drupal.
Une faille Drupal critique dans le module Field UI
Field UI est l’interface d’administration qui sert à gérer les champs. Elle permet, par exemple, d’ajouter ou de modifier des champs sur les types de contenu. En effet, c’est un outil très courant sur les sites Drupal.
Le défaut concerne ce module du cœur. Il peut conduire à une exécution de code à distance, souvent désignée par l’acronyme RCE. Autrement dit, l’attaquant peut faire tourner ses propres commandes sur la machine qui héberge le site.
Les conséquences peuvent être lourdes. Un serveur compromis permet notamment de voler des données, d’installer une porte dérobée ou de défigurer le site. En outre, il peut servir de point d’appui pour attaquer le reste du réseau.
L’équipe de sécurité de Drupal a classé la faille comme critique. Par ailleurs, son avis de sécurité détaille les versions corrigées. Voici les mises à jour à appliquer :
- Drupal 11.4.10 pour la branche 11.4 ;
- Drupal 11.3.19 pour la branche 11.3 ;
- Drupal 10.6.19 pour la branche 10.6.
Les informations disponibles ne mentionnent pas d’identifiant CVE. Elles ne signalent pas non plus d’exploitation active. Toutefois, une faille critique avec un chemin sans authentification attire vite l’attention des attaquants.
Des chemins d’exploitation via les modules contribués
L’avis apporte une précision importante. En effet, un attaquant ne peut pas atteindre la faille avec le seul cœur de Drupal. Il lui faut passer par un autre composant.
Ces composants sont les modules contribués. Ce sont des extensions développées par la communauté. Elles ajoutent ainsi des fonctions que le cœur ne propose pas.
Selon l’équipe de sécurité, plusieurs chemins d’exploitation existent via ces modules. Chacun repose sur un module différent qui interagit avec Field UI. Le risque réel varie donc d’un site à l’autre.
Surtout, au moins un chemin connu ne demande aucune connexion. Ainsi, un visiteur anonyme pourrait déclencher l’attaque. C’est le scénario le plus inquiétant, car il supprime la barrière du compte utilisateur.
Par ailleurs, la liste des chemins n’est peut-être pas complète. L’avis parle de plusieurs voies, sans prétendre à l’exhaustivité. Ainsi, un module que personne n’a encore étudié pourrait en ouvrir une autre.
Pourquoi cette faille Drupal inquiète les administrateurs
Cette situation rend l’évaluation du risque délicate. Un site peut sembler protégé parce qu’il n’utilise aucun module à risque connu. Pourtant, une extension rarement mise à jour peut changer la donne.
De plus, beaucoup de sites Drupal cumulent des dizaines de modules contribués. En effet, les équipes ne savent pas toujours lesquels sont réellement actifs. Certains restent installés par habitude, sans plus servir à rien.
La faille est également sensible pour une autre raison. Elle se situe dans une brique du cœur, présente sur la plupart des installations. Le correctif agit donc à la source, ce qui reste la meilleure protection.
En revanche, une mesure de contournement ne remplace pas la mise à jour. Retirer un module exposé peut réduire la surface d’attaque. Toutefois, cela ne corrige pas le défaut dans Field UI.
Enfin, les attaquants analysent souvent les correctifs publiés. Ils cherchent à comprendre ce qui a été réparé. Par conséquent, plus le délai d’application s’allonge, plus le risque augmente.
Ce qu’il faut retenir
La mise à jour est la priorité. Voici donc les étapes conseillées, dans l’ordre :
- Identifier la branche utilisée et passer à Drupal 11.4.10, 11.3.19 ou 10.6.19 selon le cas.
- Dresser l’inventaire des modules contribués et repérer ceux qui touchent aux champs ou aux formulaires.
- Désinstaller les modules inutiles afin de limiter les chemins d’exploitation possibles.
- Mettre à jour les modules restants et lire les avis de sécurité qui les concernent.
- Examiner les journaux du serveur pour détecter toute requête inhabituelle avant le correctif.
Par ailleurs, il est prudent de vérifier les sauvegardes. Elles doivent être récentes et testées. En effet, en cas de compromission, elles permettent de restaurer un état sain.
Si un doute subsiste sur une intrusion, il faut agir vite. Isolez le serveur, changez les identifiants sensibles et analysez les fichiers modifiés. Ainsi, vous limitez les dégâts et gardez des preuves utiles.
En résumé, cette faille Drupal exige une réaction rapide. Le cœur seul n’est pas exploitable, mais les modules contribués changent la situation. De plus, au moins un chemin ne requiert aucune authentification. C’est pourquoi la mise à jour ne doit pas attendre.
Source : Drupal Patches Critical Field UI Flaw With Unauthenticated RCE Path via Contributed Modules