Sicherheitsupdates: Angreifer könnten Drupal-Webseiten ein bisschen umbauen
Nutzer von Drupal sollten zügig die aktuellen Versionen installieren. In diesen haben die Entwickler mehrere Sicherheitslücken geschlossen.
![Sicherheitsupdate: Angreifer könnten Drupal-Webseiten umbauen](https://heise.cloudimg.io/width/600/q85.png-lossy-85.webp-lossy-85.foil1/_www-heise-de_/imgs/18/2/2/6/0/8/2/0/drupal-patch-ce3222ef42285c38-f14ca42eea982468-07dca812d5976564.png)
Alle Ausgaben des Versionsstrangs 8.x des Content-Management-Systems Drupal sollen verwundbar sein. Eine der drei Sicherheitslücken gilt als kritisch, warnen die Entwickler. Die abgesicherte Version 8.3.7 steht zum Download bereit.
Nutzen Angreifer die kritischste Lücke (CVE-2017-6925) aus, sollen sie über einen nicht näher beschriebenen Weg auf das Entity-System zugreifen können. Darüber können sie dann zum Beispiel Kommentare und Nutzer für eine Webseite erstellen, führen die Entwickler aus. Das betreffe aber nur Entitäten, die keine UUIDs aufweisen oder bei denen Revisionen nicht geschützt sind.
Drupal 7.x auch gefährdet
Die zwei weiteren Schwachstellen stufen die Entwickler als "moderat kritisch" ein. Eine klafft im Views-Modul. Damit lassen sich etwa Inhalte auf Webseiten verwalten. Kommt dabei Ajax zum Einsatz, könnten Angreifer an der Lücke (CVE-2017-6923) ansetzen und so auf Inhalte zugreifen. Davon ist auch Drupal 7.x bedroht. Die Version 7.x-3.17 ist abgesichert.
Aufgrund einer Schwachstelle (CVE-2017-6924) in der REST API ist es vorstellbar, dass Angreifer ohne vom Webseiten-Betreiber abgesegnet Kommentare posten könnten. (des)