Abo
  • Services:
Anzeige
In Drupal 7 befindet sich eine schwere Sicherheitslücke.
In Drupal 7 befindet sich eine schwere Sicherheitslücke. (Bild: Drupal)

Sicherheitslücke: Drupal-Team warnt erneut vor Folgen

In Drupal 7 befindet sich eine schwere Sicherheitslücke.
In Drupal 7 befindet sich eine schwere Sicherheitslücke. (Bild: Drupal)

Wer seine Drupal-Installation nicht innerhalb von sechs Stunden nach Bekanntgabe der kürzlich entdeckten Sicherheitslücke gepatcht hat, sollte sein System als kompromittiert betrachten, warnt das Drupal-Team.

Anzeige

Die kürzlich entdeckte Sicherheitslücke im Content Management System Drupal könne weiterhin schwere Folgen haben, warnt das Entwicklerteam. Wer das System nicht innerhalb von sechs Stunden nach Bekanntgabe der Lücke aktualisiert hat, sollte es komplett neu aufsetzen. Denn Angreifer hätten kurz nach der Veröffentlichung bereits nach unsicheren Systemen gesucht. Die Sicherheitslücke erlaubte einen uneingeschränkten Zugriff auf eine Drupal-Installation.

Drupal-Anwender sollten ihre Systeme auch als kompromittiert einstufen, wenn das CMS ohne ihr eigenes Zutun auf eine sichere Version aktualisiert worden sei, warnte das Drupal-Team. Es gebe bereits Fälle, wonach die Angreifer das System selbst abgesichert hatten, etwa, damit sich nicht andere Angreifer einnisten oder der Angegriffene keinen Verdacht schöpft.

Erste Angriffe erfolgten unmittelbar

Erste Scans nach unsicheren Systemen hätten bereits kurz nach der Veröffentlichung begonnen. Die ersten kompromittierten Systeme seien bereits etwa sechs Stunden später registriert worden. Es reiche daher nicht, wenn eine Drupal-Installation nachträglich aktualisiert wurde, Angreifer hätten sich unter Umständen bereits Zugriff verschafft und etwa Passwörter ausgelesen, mit denen sie auch danach Zugriff auf das CMS haben.

Anwendern wird geraten, zunächst das gesamte System vom Netz zu nehmen. Anschließend sollten in einer frisch aufgesetzten Drupal-Installation sämtliche Inhalte aus einem Backup eingespielt werden, das vor dem 14. Oktober 2014 erstellt wurde. Bevor das CMS wieder ans Netz geht, sollten dann die Aktualisierungen eingespielt und auch Passwörter geändert werden.

Es handelt sich um eine SQL-Injection-Schwachstelle (CVE-2014-3704), die ausgerechnet in dem Abstraktions-API ist, das solche Angriffe eigentlich verhindern soll. Anwendern wird dringend geraten, auf Version 7.32 zu aktualisieren, die Drupal am 15. Oktober 2014 veröffentlicht hat.


eye home zur Startseite
bstea 30. Okt 2014

https://www.sektioneins.de/en/advisories/advisory-012014-drupal-pre-auth-sql-injection...



Anzeige

Stellenmarkt
  1. Hochschule Ostwestfalen-Lippe, Lemgo
  2. Daimler AG, Neu-Ulm
  3. Elektronische Fahrwerksysteme GmbH, Ingolstadt
  4. Bundes-Gesellschaft für Endlagerung mbH (BGE), Salzgitter, später Peine


Anzeige
Top-Angebote
  1. (u. a. LG 65" Super-UHD für 1.799,99€ statt 1.988,90€ im Preisvergleich)
  2. 499€ (Vergleichspreis 619€)
  3. (u. a. 20% Rabatt auf ausgewählte FSP-Netzteile)

Folgen Sie uns
       


  1. Microsoft

    Nächste Hololens nutzt Deep-Learning-Kerne

  2. Schwerin

    Livestream-Mitschnitt des Stadtrats kostet 250.000 Euro

  3. Linux-Distributionen

    Mehr als 90 Prozent der Debian-Pakete reproduzierbar

  4. Porsche Design

    Huaweis Porsche-Smartwatch kostet 800 Euro

  5. Smartphone

    Neues Huawei Y6 für 150 Euro bei Aldi erhältlich

  6. Nahverkehr

    18 jähriger E-Ticket-Hacker in Ungarn festgenommen

  7. Bundesinnenministerium

    Neues Online-Bürgerportal kostet 500 Millionen Euro

  8. Linux-Kernel

    Android O filtert Apps großzügig mit Seccomp

  9. Computermuseum Stuttgart

    Als Computer noch ganze Räume füllten

  10. ZX-E

    Zhaoxin entwickelt x86-Chip mit 16-nm-Technik



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Gaming-Monitor Viewsonic XG 2530 im Test: 240 Hertz, an die man sich gewöhnen kann
Gaming-Monitor Viewsonic XG 2530 im Test
240 Hertz, an die man sich gewöhnen kann
  1. LG 43UD79-B LG bringt Monitor mit 42,5-Zoll-Panel für vier Signalquellen
  2. SW271 Benq bringt HDR-Display mit 10-Bit-Panel
  3. Gaming-Bildschirme Freesync-Displays von Iiyama und Viewsonic

Moto Z2 Play im Test: Bessere Kamera entschädigt nicht für kürzere Akkulaufzeit
Moto Z2 Play im Test
Bessere Kamera entschädigt nicht für kürzere Akkulaufzeit
  1. Modulares Smartphone Moto Z2 Play kostet mit Lautsprecher-Mod 520 Euro
  2. Lenovo Hochleistungs-Akku-Mod für Moto Z
  3. Moto Z Schiebetastatur-Mod hat Finanzierungsziel erreicht

Neuer A8 vorgestellt: Audis Staupilot steckt noch im Zulassungsstau
Neuer A8 vorgestellt
Audis Staupilot steckt noch im Zulassungsstau
  1. Autonomes Fahren Continental will beim Kartendienst Here einsteigen
  2. Verbrenner Porsche denkt über Dieselausstieg nach
  3. Autonomes Fahren Audi lässt Kunden selbstfahrenden A7 testen

  1. Re: einmal und nie wieder

    triplekiller | 20:24

  2. Re: Eine Beleidigung für echte Fotografen

    der_wahre_hannes | 20:21

  3. Re: Reichtum ist parasitär

    Thunderbird1400 | 20:17

  4. Oder andersherum: die Compiler sind nicht...

    Bonita.M | 20:17

  5. Re: GUI

    Trollifutz | 20:16


  1. 16:37

  2. 16:20

  3. 15:50

  4. 15:35

  5. 14:30

  6. 14:00

  7. 13:29

  8. 13:13


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel