Abo
  • Services:
Anzeige
Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren.
Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren. (Bild: Drupal.org)

CMS: Kritische Lücken im Update-Prozess von Drupal

Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren.
Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren. (Bild: Drupal.org)

Die automatischen Updates von Drupal können so manipuliert werden, dass recht leicht Malware eingeschleust werden kann. Bekannt ist dies wohl schon seit Jahren, Lösungen dafür werden nun erneut diskutiert.

Wie andere Anwendungen bietet das Content-Management-System Drupal seinen Nutzern den komfortablen Dienst zur automatischen Update-Suche und Installation. Dieser Prozess könne aber so manipuliert werden, dass Malware mit Hintertüren für weitere Angriffe eingeschleust werden könne, schreibt Fernando Arnaboldi im Blog von Ioactive.

Anzeige

Demnach zeigt zwar Drupal 6 noch eine Warnung an, falls die automatische Aktualisierung fehlgeschlagen ist, in den Version 7 und 8 hingegen fehle diese Warnung. Drupal meldet stattdessen, dass keine Aktualisierungen vorlägen. Darüber hinaus sei die manuelle Prüfung nach Updates aus Drupal 6 und 7 heraus anfällig für eine sogenannte Cross-Site-Request-Forgery.

So könnten Angreifer jederzeit die Suche nach Updates gegen den Willen des Administrators forcieren und so sehr viel Netzwerkverkehr erzeugen. Ist die Anbindung des betroffenen Drupal-Hosts wesentlich kleiner als die der Update-Server von Drupal selbst könnte so ein Denial-of-Service (DoS) erzeugt werden. Ebenso könnte durch das gezielte Starten sehr vieler Abfragen auf verschiedenen Drupal-Instanzen ein DoS-Angriff auf die Update-Server von Drupal gestartet werden.

Unverschlüsselte, nicht-verifizierte Updates

Wesentlich schwerwiegender als die zwei genannten Probleme ist jedoch, dass die automatischen Updates bei Drupal laut Arnaboldi vollkommen unverschlüsselt übertragen werden und deren Integrität außerdem nicht überprüft wird. Über einen Man-in-the-Middle-Angriff könnte so Malware auf dem Hostrechner installiert werden.

Dies ist auch über den Update-Prozess einzelner Module für Drupal möglich. Mit der entsprechenden Schadsoftware könnten so die Zugangsdaten der Drupal-Datenbank ausgelesen werden. Arnaboldi zufolge diskutierte das Drupal-Team bereits im Jahr 2012 Angriffsszenarien, die sich aus dem schlecht gesicherten Update-Prozess ergeben. Nach einer erneuten Meldung des Problems durch den Sicherheitsforscher kümmere sich das Sicherheitsteam von Drupal nun aber um eine Lösung.


eye home zur Startseite
Karmageddon 10. Jan 2016

M.E. gab es keine automatische Aktualisierung in Drupal 6. Da musste man sowohl Module...



Anzeige

Stellenmarkt
  1. Fraunhofer-Institut für Bildgestützte Medizin MEVIS | Bremen, Bremen
  2. Deutsche Bundesbank, Frankfurt am Main
  3. KES-Softwareentwicklung, Pforzheim (Home-Office möglich)
  4. p.a. GmbH, Poing


Anzeige
Blu-ray-Angebote
  1. 2,99€ (ohne Prime bzw. unter 29€ Einkauf zzgl. 3€ Versand)
  2. (Kaufen und Leihen)
  3. 69,99€ (DVD 54,99€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Leap Motion und Qualcomm

    Drahtloses VR-Headset mit Hand-Tracking ausprobiert

  2. Sandisk iNand 7350

    WD rüstet Speicher für Smartphones auf

  3. Uncharted 4

    34.000 Animationsphasen für ein Action-Adventure

  4. Aneeda und Dial

    Die Nicht-Smartwatch der Telekom wird wohl nicht fertig

  5. The Legend of Zelda (1986 und 1995)

    Ein Abenteuer-Fundament für die Ewigkeit

  6. Mehr Möbel als Gadget

    Eine Holzfernbedienung für das Smart Home

  7. Der Herr der Ringe

    Schatten des Krieges in Mittelerde angekündigt

  8. Konzeptfahrzeug

    Peugeot Instinct - autonom fahren oder manuell steuern

  9. Später Lesen

    Mozilla übernimmt Hersteller von Pocket

  10. Nokia 3, 5 und 6 im Hands on

    Ein guter Neuanfang ist gemacht



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Nintendo Switch eingeschaltet: Zerstückelte Konsole und gigantisches Handheld
Nintendo Switch eingeschaltet
Zerstückelte Konsole und gigantisches Handheld
  1. Nintendo Interner Speicher von Switch offenbar schon jetzt zu klein
  2. Hybridkonsole Leak zeigt Menüs der Nintendo Switch
  3. Hybridkonsole Hardware-Details von Nintendo Switch geleakt

Blackberry Key One im Hands on: Android-Smartphone mit toller Hardware-Tastatur
Blackberry Key One im Hands on
Android-Smartphone mit toller Hardware-Tastatur
  1. Digitale Assistenten Google und Amazon kämpfen um Vorherrschaft
  2. Xperia XA1 und XA1 Ultra Sony präsentiert zwei Android-Smartphones ab 300 Euro
  3. Alcatel A5 LED im Hands on Wenn die Smartphone-Rückseite wild blinkt

Asus Tinker Board im Test: Buntes Lotterielos rechnet schnell
Asus Tinker Board im Test
Buntes Lotterielos rechnet schnell
  1. Tinker-Board Asus bringt Raspberry-Pi-Klon
  2. Sopine A64 Weiterer Bastelrechner im Speicherriegel-Format erscheint

  1. Re: 90 Tage sind auch genug Zeit

    redmord | 11:00

  2. Re: Er habe keine Interesse daran, dem Projekt zu...

    titho | 10:59

  3. Re: Jaa wenn es um Geld geht....

    neocron | 10:59

  4. Super toll, und dann wieder USB 2.0 Anschlüsse...

    TrollNo1 | 10:57

  5. Re: Achja, vermutlich das nächste Spiel, dass den...

    Dwalinn | 10:57


  1. 10:30

  2. 10:05

  3. 10:00

  4. 09:54

  5. 09:15

  6. 08:03

  7. 07:54

  8. 07:44


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel