CMS: Kritische Lücken im Update-Prozess von Drupal

Die automatischen Updates von Drupal können so manipuliert werden, dass recht leicht Malware eingeschleust werden kann. Bekannt ist dies wohl schon seit Jahren, Lösungen dafür werden nun erneut diskutiert.

Artikel veröffentlicht am ,
Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren.
Drupal-Nutzer sollten Updates vorerst nicht automatisch installieren. (Bild: Drupal.org)

Wie andere Anwendungen bietet das Content-Management-System Drupal seinen Nutzern den komfortablen Dienst zur automatischen Update-Suche und Installation. Dieser Prozess könne aber so manipuliert werden, dass Malware mit Hintertüren für weitere Angriffe eingeschleust werden könne, schreibt Fernando Arnaboldi im Blog von Ioactive.

Demnach zeigt zwar Drupal 6 noch eine Warnung an, falls die automatische Aktualisierung fehlgeschlagen ist, in den Version 7 und 8 hingegen fehle diese Warnung. Drupal meldet stattdessen, dass keine Aktualisierungen vorlägen. Darüber hinaus sei die manuelle Prüfung nach Updates aus Drupal 6 und 7 heraus anfällig für eine sogenannte Cross-Site-Request-Forgery.

So könnten Angreifer jederzeit die Suche nach Updates gegen den Willen des Administrators forcieren und so sehr viel Netzwerkverkehr erzeugen. Ist die Anbindung des betroffenen Drupal-Hosts wesentlich kleiner als die der Update-Server von Drupal selbst könnte so ein Denial-of-Service (DoS) erzeugt werden. Ebenso könnte durch das gezielte Starten sehr vieler Abfragen auf verschiedenen Drupal-Instanzen ein DoS-Angriff auf die Update-Server von Drupal gestartet werden.

Unverschlüsselte, nicht-verifizierte Updates

Wesentlich schwerwiegender als die zwei genannten Probleme ist jedoch, dass die automatischen Updates bei Drupal laut Arnaboldi vollkommen unverschlüsselt übertragen werden und deren Integrität außerdem nicht überprüft wird. Über einen Man-in-the-Middle-Angriff könnte so Malware auf dem Hostrechner installiert werden.

Dies ist auch über den Update-Prozess einzelner Module für Drupal möglich. Mit der entsprechenden Schadsoftware könnten so die Zugangsdaten der Drupal-Datenbank ausgelesen werden. Arnaboldi zufolge diskutierte das Drupal-Team bereits im Jahr 2012 Angriffsszenarien, die sich aus dem schlecht gesicherten Update-Prozess ergeben. Nach einer erneuten Meldung des Problems durch den Sicherheitsforscher kümmere sich das Sicherheitsteam von Drupal nun aber um eine Lösung.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Custom Keyboard
Youtuber baut riesige Tastatur für 13.500 Euro

Die Switches haben das 64-fache Volumen und das Gehäuse ist menschenhoch: Ein Youtuber baut eine absurd große Tastatur für absurd viel Geld.

Custom Keyboard: Youtuber baut riesige Tastatur für 13.500 Euro
Artikel
  1. Super Nintendo: Fan bringt verbessertes Zelda 3 für Windows, MacOS und Linux
    Super Nintendo
    Fan bringt verbessertes Zelda 3 für Windows, MacOS und Linux

    Aus 80.000 Zeilen C-Code besteht die per Reverse Engineering generierte Version von Zelda 3. Die bringt einige Verbesserungen und 16:9.

  2. Twitter: Der blaue Haken bringt Musk nur wenig Geld
    Twitter
    Der blaue Haken bringt Musk nur wenig Geld

    Weltweit hat Twitter angeblich schon einige Hunderttausend zahlende Nutzer. Das dürfte die Finanzprobleme aber nur wenig mildern.

  3. Linux: Alte Computer zu neuem Leben erwecken
    Linux
    Alte Computer zu neuem Leben erwecken

    Computer sind schon nach wenigen Jahren Nutzungsdauer veraltet. Doch mit den schlanken Linux-Distributionen AntiX-Linux, Q4OS oder Simply Linux erleben ältere PC-Systeme einen zweiten Frühling.
    Von Erik Bärwaldt

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • DAMN-Deals: AMD CPUs zu Tiefstpreisen (u. a. R7 5800X3D 324€)• MindStar: Zotac RTX 4070 Ti 949€, XFX RX 6800 519€ • WSV-Finale bei MediaMarkt (u. a. Samsung 980 Pro 2 TB Heatsink 199,99€) • RAM im Preisrutsch • Powercolor RX 7900 XTX 1.195€ • PCGH Cyber Week nur noch kurze Zeit [Werbung]
    •  /