Anzeige
Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren.
Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren. (Bild: Drupal.org)

CMS: Kritische Lücken im Update-Prozess von Drupal

Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren.
Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren. (Bild: Drupal.org)

Die automatischen Updates von Drupal können so manipuliert werden, dass recht leicht Malware eingeschleust werden kann. Bekannt ist dies wohl schon seit Jahren, Lösungen dafür werden nun erneut diskutiert.

Wie andere Anwendungen bietet das Content-Management-System Drupal seinen Nutzern den komfortablen Dienst zur automatischen Update-Suche und Installation. Dieser Prozess könne aber so manipuliert werden, dass Malware mit Hintertüren für weitere Angriffe eingeschleust werden könne, schreibt Fernando Arnaboldi im Blog von Ioactive.

Anzeige

Demnach zeigt zwar Drupal 6 noch eine Warnung an, falls die automatische Aktualisierung fehlgeschlagen ist, in den Version 7 und 8 hingegen fehle diese Warnung. Drupal meldet stattdessen, dass keine Aktualisierungen vorlägen. Darüber hinaus sei die manuelle Prüfung nach Updates aus Drupal 6 und 7 heraus anfällig für eine sogenannte Cross-Site-Request-Forgery.

So könnten Angreifer jederzeit die Suche nach Updates gegen den Willen des Administrators forcieren und so sehr viel Netzwerkverkehr erzeugen. Ist die Anbindung des betroffenen Drupal-Hosts wesentlich kleiner als die der Update-Server von Drupal selbst könnte so ein Denial-of-Service (DoS) erzeugt werden. Ebenso könnte durch das gezielte Starten sehr vieler Abfragen auf verschiedenen Drupal-Instanzen ein DoS-Angriff auf die Update-Server von Drupal gestartet werden.

Unverschlüsselte, nicht-verifizierte Updates

Wesentlich schwerwiegender als die zwei genannten Probleme ist jedoch, dass die automatischen Updates bei Drupal laut Arnaboldi vollkommen unverschlüsselt übertragen werden und deren Integrität außerdem nicht überprüft wird. Über einen Man-in-the-Middle-Angriff könnte so Malware auf dem Hostrechner installiert werden.

Dies ist auch über den Update-Prozess einzelner Module für Drupal möglich. Mit der entsprechenden Schadsoftware könnten so die Zugangsdaten der Drupal-Datenbank ausgelesen werden. Arnaboldi zufolge diskutierte das Drupal-Team bereits im Jahr 2012 Angriffsszenarien, die sich aus dem schlecht gesicherten Update-Prozess ergeben. Nach einer erneuten Meldung des Problems durch den Sicherheitsforscher kümmere sich das Sicherheitsteam von Drupal nun aber um eine Lösung.


eye home zur Startseite
Karmageddon 10. Jan 2016

M.E. gab es keine automatische Aktualisierung in Drupal 6. Da musste man sowohl Module...



Anzeige

Stellenmarkt
  1. Deutsche Telekom AG, Düsseldorf
  2. Deutsche Telekom AG, Leinfelden-Echterdingen
  3. Robert Bosch GmbH, Leonberg
  4. über 3C - Career Consulting Company GmbH, Stuttgart


Anzeige
Hardware-Angebote
  1. 444,90€
  2. 349,00€

Folgen Sie uns
       


  1. Passwort-Cracker

    Hashcat will jetzt auch Veracrypt knacken können

  2. Sparc S7

    Oracle attackiert Intels Xeon mit acht Kernen bei 4,27 GHz

  3. Musikstreaming

    Spotify wirft Apple Behinderung des Wettbewerbs vor

  4. Fireflies

    Günstige Bluetooth-Ohrstecker sollen 100 US-Dollar kosten

  5. Twitch

    "Social Eating" als neuer Kanal

  6. Tidal

    Apple will Streamingdienst von Jay Z kaufen

  7. Social Media

    Facebook-Nutzer müssen vorerst weiter Klarnamen angeben

  8. Xiaomi Mi Qicycle

    Elektrisches Klappfahrrad mit Smartphone-Anschluss

  9. The Mill Blackbird

    Auto verwandelt sich für Filmaufnahmen

  10. United Internet

    Festnetzbetreiber heißt jetzt 1&1 Versatel



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Oneplus Three im Test: Ein Alptraum für die Android-Konkurrenz
Oneplus Three im Test
Ein Alptraum für die Android-Konkurrenz
  1. Android-Smartphone Diskussionen um Speichermanagement beim Oneplus Three
  2. Smartphones Oneplus soll keine günstigeren Modellreihen mehr planen
  3. Ohne Einladung Oneplus Three kommt mit 6 GByte RAM für 400 Euro

Mobbing auf Wikipedia: Content-Vandalismus, Drohungen und Beschimpfung
Mobbing auf Wikipedia
Content-Vandalismus, Drohungen und Beschimpfung
  1. Freies Wissen Katherine Maher wird dauerhafte Wikimedia-Chefin

Neue Windows Server: Nano bedeutet viel mehr als nur klein
Neue Windows Server
Nano bedeutet viel mehr als nur klein
  1. Windows 10 Microsoft will Trickserei beim Upgrade beenden
  2. Windows 10 Microsoft zahlt Entschädigung für nicht gewolltes Upgrade
  3. Microsoft Patchday Das Download-Center wird nicht mehr alle Patches bieten

  1. Bitte um Aufklärung

    lawy | 11:48

  2. Re: Anhaltende Probleme beim Verbindungsaufbau...

    koki | 11:47

  3. Re: never before has a generation so diligently...

    david_rieger | 11:46

  4. Re: Auch wenn dadurch einfacher würde....

    M.P. | 11:46

  5. Re: Mammon

    robinx999 | 11:46


  1. 11:39

  2. 11:35

  3. 10:36

  4. 10:30

  5. 10:23

  6. 10:14

  7. 09:44

  8. 07:58


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel