Alert!

Sicherheitsupdates für Drupal: Schadcode-Attacken auf Webbrowser möglich

Die Entwickler von Drupal haben in ihrem Content Management System mehrere Schwachstellen geschlossen.

(Bild: Bild erstellt mit KI in Bing Image Creator durch heise online / dmk)

10:54 Uhr

Lesezeit: 2 Min.

Security

Von

Dennis Schirrmacher

Mangelhafte Input Validation macht bisherige Versionen von Drupal angreifbar. Stimmen die Voraussetzungen, können Angreifer über kompromittierte, mit Drupal erstellte Websites Schadcode im Webbrowser von Opfern ausführen. Es sind noch weitere Attacken denkbar. Sicherheitspatches sind verfügbar.

Schadcode-Attacken

Wie aus einer Warnmeldung hervorgeht, ist von der Webbrowser-Schadcode-Attacke ausschließlich Drupal 7 mit aktiviertem Overlay-Modul gefährdet. Weil in diesem Kontext Nutzereingaben nicht ausreichend überprüft werden, können Angreifer im Zuge einer Reflected-XSS-Attacke Schadcode im Webbrowser von Opfern ausführen. Die Entwickler führen keine CVE-Nummer auf. Sie stufen die Gefahr als "kritisch" ein. Dagegen ist Drupal 7.102 gerüstet.

Der Großteil der verbleibenden Schwachstellen ist als "moderat kritisch" gekennzeichnet. An diesen Stellen kann es unter anderem zu einer PHP Code Injection kommen, sodass Angreifer eigenen Code ausführen können. In einem anderen Fall ist die Authentifizierung umgehbar und Angreifer können sich mit einer E-Mail-Adresse eines anderen Nutzers anmelden. Von diesen Lücken sind verschiedene Ausgaben von Drupal 7, 8, 10 und 11 betroffen.

Bislang gibt es noch keine Hinweise auf bereits laufende Attacken. Website-Admins sollten aber dennoch zügig handeln und die verfügbaren Sicherheitsupdates installieren.

Die gegen die geschilderten Angriffe gerüstete Version listen die Entwickler in mehreren Beiträgen auf. Liste nach Bedrohungsgrad absteigend sortiert: