Drupal Sicherheitslücke geschlossen – Systeme trotzdem gefährdet

drupal-Sicherheitslücke

Die Aufregung um eine SQL-Injection-Schwachstelle in Installationen des Content Management Systems Drupal ist noch nicht vorüber. Im Anschluss an den jüngsten Patch hat das Entwicklerteam erneut eine Warnung ausgegeben.

Wer nicht innerhalb weniger Stunden nach dem Patch upgedatet habe, dessen System sei hochgradig gefährdet.

„Sie sollten unter der Annahme vorgehen, dass jede Drupal 7 Website kompromittiert wurde, die nicht vor dem 15. Oktober um 11 PM UTC (12 PM MEZ) upgedatet oder gepatcht wurde – 7 Stunden nach unserer Ankündigung“, so die Entwickler. Kurz nachdem der Patch veröffentlicht worden war, hätten automatisierte Attacken auf Drupal 7 Websites begonnen. Bereits sechs Stunden nach dem Update seien Systeme registriert worden, zu denen sich Angreifer Zugang verschafft hätten.

Laut den Entwicklern reicht es nicht mehr, das Update nachträglich aufzuspielen. Angreifer könnten bereits Hintertüren in Code oder Datenbank eingebaut haben. Die sicherste Alternative sei, ein Backup der Website von einem Zeitpunkt vor dem 15. Oktober zu nehmen, dieses zu updaten und die Seite dann wieder online zu stellen. Alternativ solle man das System komplett neu aufsetzen.

Wer herausfinden möchte, ob seine Seite betroffen ist, findet einen ersten Anhaltspunkt auf der Drupal Informationsseite. Ein Hinweis auf ein bereits kompromittiertes System kann darin bestehen, dass sich die Installation ohne eigenes Zutun auf die neue Version aktualisiert hat. Auf diese Weise sichern einige Angreifer das manipulierte System ab, um den alleinigen Zugang sicherzustellen.

(Bild: Gunnar Pippel @ shutterstock.com)

Tags :Quellen:Drupal Public Service Announcement, Drupal Patch SA-CORE-2014-005

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

Advertising