Neue Sicherheitslücken bei Drupal
Es bleibt unruhig bei Drupal, dem drittgrößten CMS-Anbieter weltweit. Nach den kritischen Vorfällen im Januar, bei Schwachstellen im CMS bisher unbekannten Hackern den Diebstahl von Identitäten und Codeausführungen ermöglichten, ruft das Unternehmen die Nutzer nun wieder zu einem schnellen CMS Update auf, um neue Sicherheitslücken zu schließen. Bereits im Februar diesen Jahres wurden 10 kritische Lücken durch Updates geschlossen, um weiteren Schaden abzuwenden.
Sicherheitslücken in mehreren Modulen entdeckt
Das Content Management System CMS von Drupal ist die Basis für Millionen Sites weltweit und wird vor allem von Profis und Unternehmen genutzt. Nach offiziellen Schätzungen basieren rund 9 % der 10.000 erfolgreichsten Domains auf dem Drupal CMS. Das ist für Hacker besonders interessant und natürlich wird immer wieder gezielt nach Schwachstellen gesucht, um Angriffe zu starten.
Drupal hat jetzt alle Anwender aufgefordert, die neuen Updates zeitnah aufzuspielen, da gleich mehrere relevante Sicherheitslücken entdeckt wurden, die mindestens 13.000 Domains betreffen. Die Probleme betreffen mehrere Module. Sie könnten Cyberkriminelle in die Lage versetzen, Webseiten zu hacken, Schadcodes auszuführen und die Nutzer zu erpressen.
Das Sicherheitsteam von Drupal schreibt dazu: „Die Module enthalten eine Möglichkeit zur Remotecodeausführung, die es Angreifern mittels manipulierter Anfragen erlaubt, die Site zu übernehmen“. Dadurch könnte auch die vollständige Kontrolle über Server erlangt werden. Nahezu jeder Besucher, der die Domains aufruft, könnte theoretisch die Sites übernehmen.
Bei den Modulen, die Lücken aufweisen, handelt es sich um RESTWS, Coder und Webform Multiple File Upload. Der Sicherheitsexperte hat die Schwachstelle in RESTWS entdeckt, die rund 5800 Domains betrifft. Durch diese Lücke können PHP Codes ausgeführt werden. Die Schwachstelle in Codes, einem Modul, das auf 5000 Domains zur Codeanalyse eingesetzt wird, hat Nicky Bloor identifiziert. Sie ist besonders kritisch, da das Modul auch inaktiv zur Ausführung von Remotecodes missbraucht werden kann. Die Lücke in dem Webform Multiple File Upload Modul wurde vom Drupal Sicherheitsteam-Mitglied Ben Dougherty entdeckt. Auch hier können Schadcodes eingeschleust werden.
Drupal hat für alle drei Module neue Versionen erarbeitet und stellt sie den Nutzern jetzt zur Verfügung. Zum Schutz der Domains und Sites sollten alle Drupal Anwender umgehend die Updates aufspielen und dann die Systeme neu starten.