Abo
  • Services:
Anzeige
Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren.
Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren. (Bild: Drupal.org)

CMS: Kritische Lücken im Update-Prozess von Drupal

Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren.
Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren. (Bild: Drupal.org)

Die automatischen Updates von Drupal können so manipuliert werden, dass recht leicht Malware eingeschleust werden kann. Bekannt ist dies wohl schon seit Jahren, Lösungen dafür werden nun erneut diskutiert.

Wie andere Anwendungen bietet das Content-Management-System Drupal seinen Nutzern den komfortablen Dienst zur automatischen Update-Suche und Installation. Dieser Prozess könne aber so manipuliert werden, dass Malware mit Hintertüren für weitere Angriffe eingeschleust werden könne, schreibt Fernando Arnaboldi im Blog von Ioactive.

Anzeige

Demnach zeigt zwar Drupal 6 noch eine Warnung an, falls die automatische Aktualisierung fehlgeschlagen ist, in den Version 7 und 8 hingegen fehle diese Warnung. Drupal meldet stattdessen, dass keine Aktualisierungen vorlägen. Darüber hinaus sei die manuelle Prüfung nach Updates aus Drupal 6 und 7 heraus anfällig für eine sogenannte Cross-Site-Request-Forgery.

So könnten Angreifer jederzeit die Suche nach Updates gegen den Willen des Administrators forcieren und so sehr viel Netzwerkverkehr erzeugen. Ist die Anbindung des betroffenen Drupal-Hosts wesentlich kleiner als die der Update-Server von Drupal selbst könnte so ein Denial-of-Service (DoS) erzeugt werden. Ebenso könnte durch das gezielte Starten sehr vieler Abfragen auf verschiedenen Drupal-Instanzen ein DoS-Angriff auf die Update-Server von Drupal gestartet werden.

Unverschlüsselte, nicht-verifizierte Updates

Wesentlich schwerwiegender als die zwei genannten Probleme ist jedoch, dass die automatischen Updates bei Drupal laut Arnaboldi vollkommen unverschlüsselt übertragen werden und deren Integrität außerdem nicht überprüft wird. Über einen Man-in-the-Middle-Angriff könnte so Malware auf dem Hostrechner installiert werden.

Dies ist auch über den Update-Prozess einzelner Module für Drupal möglich. Mit der entsprechenden Schadsoftware könnten so die Zugangsdaten der Drupal-Datenbank ausgelesen werden. Arnaboldi zufolge diskutierte das Drupal-Team bereits im Jahr 2012 Angriffsszenarien, die sich aus dem schlecht gesicherten Update-Prozess ergeben. Nach einer erneuten Meldung des Problems durch den Sicherheitsforscher kümmere sich das Sicherheitsteam von Drupal nun aber um eine Lösung.


eye home zur Startseite
Karmageddon 10. Jan 2016

M.E. gab es keine automatische Aktualisierung in Drupal 6. Da musste man sowohl Module...



Anzeige

Stellenmarkt
  1. Villeroy & Boch AG, Mettlach bei Saarbrücken / Merzig
  2. Swiss Post Solutions GmbH, Bamberg oder Hallstadt
  3. Daimler AG, Leinfelden-Echterdingen
  4. Pixelgenau Consulting GmbH, Frankfurt am Main


Anzeige
Top-Angebote
  1. (Spiele und Filme mit FSK/USK 18)
  2. (u. a. Die Unfassbaren, Der unglaubliche Hulk, Nightcrawler, Olympus Has Fallen, Die Verurteilten...
  3. 35,19€ (Bestpreis!)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mehr dazu im aktuellen Whitepaper von Bitdefender
  2. Tipps für IT-Engagement in Fernost
  3. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Elementary OS Loki im Test

    Hübsch und einfach kann auch kompliziert sein

  2. Mobilfunkausrüster

    Ericsson entlässt seinen Konzernchef

  3. Neuer Algorithmus

    Google verkleinert App-Downloads aus dem Play Store

  4. Brennstoffzelle

    Hazer will Wasserstoff günstiger machen

  5. Netze

    Huawei steigert Umsatz stark

  6. Gears of War 4

    Erstes PC-Spiel unterstützt dynamische Render-Auflösung

  7. Nintendo

    Gewinn steigt durch Pokémon Go kaum an

  8. Khronos

    Vulkan bekommt offizielle API für C++

  9. Bildbearbeitungs-App

    Prisma offiziell für Android erhältlich

  10. Kernel

    Linux 4.7 unterstützt AMDs Polaris



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Core i7-6820HK: Das bringt CPU-Overclocking im Notebook
Core i7-6820HK
Das bringt CPU-Overclocking im Notebook
  1. Stresstest Futuremarks 3DMark testet Hardware auf Throttling

Digitalisierung: Darf ich am Sabbat mit meinem Lautsprecher reden?
Digitalisierung
Darf ich am Sabbat mit meinem Lautsprecher reden?
  1. Smart City Der Bürger gestaltet mit
  2. Internetwirtschaft Das ist so was von 2006
  3. Das Internet der Menschen "Industrie 4.0 verbannt Menschen nicht aus Werkhallen"

Edward Snowden: Spezialhülle fürs iPhone warnt vor ungewollter Funkaktivität
Edward Snowden
Spezialhülle fürs iPhone warnt vor ungewollter Funkaktivität
  1. Qualcomm-Chips Android-Geräteverschlüsselung ist angreifbar
  2. Apple Nächstes iPhone soll keine Klinkenbuchse haben
  3. Smarte Hülle Android unter dem iPhone

  1. Re: Vollidiot

    freddypad | 11:58

  2. Re: nur 500 MByte/s trotz USB 3.1

    RicoBrassers | 11:57

  3. Re: Falsch...

    Jesterfox | 11:57

  4. Re: Netflix ist es wert

    most | 11:57

  5. Re: Kein Geld Ausgeben

    Nogul | 11:56


  1. 12:05

  2. 12:04

  3. 11:33

  4. 11:22

  5. 11:17

  6. 11:05

  7. 10:58

  8. 10:48


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel