Update für Drupal 7 stopft Sicherheitslücke

Sie befindet sich in der Abstraktions-API des Open-Source-CMS und ermöglicht SQL-Injection-Attacken. Angreifer könnten über die Schwachstelle etwa Nutzerdaten abfragen oder schädlichen PHP-Code einschleusen. Neben der Installation des Patches wird ein Datenbank- und System-Scan sowie im Notfall ein neu aufgesetzter Server empfohlen.

Die Entwickler des weit verbreiteten Content-Management-Systems Drupal haben einen Patch veröffentlicht, der in Version 7 der Software eine als kritisch eingestufte SQL-Injection-Lücke schließen soll. Über diese können Angreifer laut dem Sicherheitsunternehmen Volexity ohne vorherige Authentifizierung beliebige SQL-Befehle absetzen und so die Kontrolle über das komplette CMS und die damit verwaltete Website übernehmen.

Security (Bild: Shutterstock)Die Schwachstelle steckt in der sogenannten Datenbankabstraktions-API von Drupal. Die Programmierschnittstelle dient dazu, SQL-Abfragen gegen die Datenbank zu prüfen und gegebenenfalls zu filtern.

Auf diese Weise sollen SQL-Injection-Angriffe eigentlich verhindert werden. In diesem Fall ermöglicht die API allerdings die Ausführung von SQL-Kommandos, welche beispielsweise die dahinter befindliche Datenbank manipulieren könnten, damit die Angreifer etwa an Nutzerdaten gelangen. Denkbar ist auch, dass sich Unbefugte durch Rechteausweitung (Privilege Escalation) als Administrator Zugang zu Drupal verschaffen oder dass schädlicher PHP-Code eingeschleust wird.

Volexity empfiehlt Drupal-Anwendern daher dringend, auf die am Mittwoch veröffentlichte Version 7.32 zu aktualisieren. Weiterhin sollten Website-Betreiber laut dem Security-Anbieter ihr System, ihre Datenbank sowie ihre Log-Dateien auf potenzielle Attacken untersuchen. Eine Kompromittierung erkenne der Nutzer beispielsweise daran, dass es nicht mehr möglich ist, sich mit dem Administratorkonto anzumelden. Zudem werde der Name des Accounts auf „Owned“ gesetzt.

Ferner wird Betreibern geraten, im Worst-Case-Szenario den Webserver neu aufzusetzen und auf einem frischen System die neueste Drupal-Version zu installieren. Darüber hinaus sollte der Zugang zu den Nutzer- und Administratorkonten Volexity zufolge eingeschränkt und eine Zwei-Faktor-Authentifizierung integriert werden. Das Unternehmen empfielt hierbei etwa eine Lösung des Anbieters Duo Security.

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Themenseiten: Datenbank, Open Source, SQL, Secure-IT

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Update für Drupal 7 stopft Sicherheitslücke

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *