22.2.2018 - Im CMS Drupal klaffen mehrere Sicherheitslücken. Davon gelten zwei als kritisch. Sicherheitsupdates für verschiene Versionsstränge stehen bereit.

 Einige mit dem Content-Management-System (CMS) Drupal gebauten Webseiten sind angreifbar. Nutzt ein Angreifer die Sicherheitslücken aus, könnte er unter Umständen auf Inhalte zugreifen, auf die er eigentlich keinen Zugriff haben dürfte. Davon sind die Versionsstränge 7.x und 8.4.x bedroht, warnen die Entwickler. Die Ausgaben 7.57 und 8.4.5 sind abgesichert.

 Eine der kritischen Lücken klafft ausschließlich in Drupal 8. Ist die Kommentarfunktion aktiviert und hat ein Angreifer die Rechte zum Verfassen von Kommentaren, könnte er durch das Ausnutzen der Schwachstelle unter Umständen unrechtmäßig auf Inhalte zugreifen. Wie ein Übergriff im Detail abläuft, ist derzeit unklar. Aufgrund des Schweregrads der Lücke ist aber davon auszugehen, dass eine Attacke aus der Ferne möglich ist. Die zweite kritische Schwachstelle bedroht Drupal 7 und 8. Angreifer können darüber eine XSS-Attacke einleiten.

Details zu den weiteren Lücken finden sich in der Sicherheitswarnung der Entwickler.

Quelle: heise.de