Drupal-Module anfällig für Angriffe

Sollten Sie das Content Management System (CMS) Drupal mit einem der Module "Menu Item Extra" oder "Workflow" benutzen, sollten Sie die beiden Module dringend auf den aktuellen Stand bringen. Denn sonst könnten böswillige Angreifer Internetseiten, die mit dem CMS gebaut wurden, erfolgreich angreifen. Vom Notfallteam des Bundesamt für Sicherheit in der Informationstechnik CERT Bund wurde das Angriffsrisiko als "hoch" eingestuft. Details zu möglichen Angriffen Weil es in beiden Modulen an Überprüfungen der Eingaben fehlt, könnten Angreifer sowohl CSRF- als auch XSS-Attacken durchführen. Für einen erfolgreichen Angriff müssten sie aber je nach Modul über die Berechtigungen "administrator nodes", "administrator menu" oder "administrator workflow" verfügen. Weiter e Infos zu den Lücken erläutern die Entwickler in zwei Sicherheitswarnungen zu Menu Item Extras und Workflow. Abhilfe schafft die Installation der aktuellsten Versionen Menu Item Extras 8.x-2.5 für Drupal 8.x und Workflow 7.x-2.12 für Drupal 7.x.

2019-05-24T17:28:13+02:00Mai 24th, 2019|CMS, Coding, Webwerkzeuge|Kommentare deaktiviert für Drupal-Module anfällig für Angriffe
Weiterlesen

Das CMS Drupal bekommt ein Sicherheitsupdate

In dem ziemlich verbreiteten Content-Management-Systems (CMS) Drupal gibt es eine Schwachstelle, die Angreifern die Manipulation von Dateien im CMS aus der Ferne möglich macht.. Das BSI hat dazu eine Sicherheitswarnung der zweithöchsten Risikostufe (4 von 5)herausgegeben, und die Drupal-Entwickler selbst wählten gemäß "NIST's Common Misuse Scoring System (CMSS)" die Einordnung "moderately critical". Updates, die diese Schwachstelle beseitigen, stehen jetzt zur Verfügung und sollten auch ziemlich umgehend eingespielt werden. Selbe Schwachstelle in TYPO3 bereits im letzten Sommer geschlossen Drupal gibt in seinem Sicherheitshinweis zur Schwachstelle (CVE-2019-11831) die Drittanbieter-PHP-Komponente "Phar Stream Wrapper" als Quelle des Problems an. Dabei verweisen sie auch auf ein aktuelles Dokument auf der Internetpräsenz des CMS Typo3, in dem die Schwachstelle detailliert erläutert wird. Dieses Dokument wiederum verweist seinerseits auf einen Typo3-Sicherheitshinweis, der bestätigt, dass CVE-2019-11831 auch in Typo3 existierte. Dort eliminierten die Entwickler  die Schwachstelle allerdings schon im Juli 2018 aus ihrem CMS. Auch das Phar Stream Wrapper Package selbst wurde mittlerweile bereinigt. Die verfügbaren Versionen des Updates Drupal rät den Benutzern von Drupal 8.7 zum Update auf Drupal 8.7.1, während Benutzer von Version 8.6 auf die Version 8.6.16 umsteigen sollten . Für die 8er-Versionen vor 8.6.x gibt es bekannterweise keine Sicherheitsupdates mehr.  Deshalb sollten die auch gar nicht mehr genutzt werden. Für Benutzer von Drupal 7 beseitigt die Aktualisierung auf [...]

2019-05-10T18:46:21+02:00Mai 10th, 2019|Coding, Webwerkzeuge|Kommentare deaktiviert für Das CMS Drupal bekommt ein Sicherheitsupdate
Weiterlesen

Warnung vor Angriffen auf Drupal-Installationen

Die Sicherheitsforscher von Imperva warnen aktuell erneut vor einer Angriffswelle, die sich gegen auf dem weit verbreiteten Content-Management-System (CMS) Drupal basierende Internetseiten richtet. Übernahme von Drupal-Sites mit Drupalgeddon und Dirty Cow Die Angreifer versuchen dabei, Zugang zu einem Root-Konto des Webservers zu bekommen. Dann installieren sie einen SSH-Client, der ihnen dann in Zukunft jederzeit den Zugriff auf den Server mit Root-Rechten erlaubt. Der erste Versuch mit Drupalgeddon 2 Die Cyberkriminellen setzen dabei auf zwei schon länger bekannte Exploits und greifen Websites an, die noch eine veraltete Version von Drupal nutzen und nicht gegen Angriffe auf die schon vor über einem halben Jahr im März veröffentlichte Schwachstelle Drupalgeddon 2 geschützt sind. Wer vernünftige Wartung betrieben und alle Updates immer eingespielt hat, braucht sich wegen der aktuell laufenden Angriffswelle keine Gedanken machen. Wenn sie eine solche noch ungeschützte Seite finden, nutzen sie Drupalgeddon 2 als Startpunkt ihres Angriffs. Damit suchen die Hacker in der lokalen Drupal-Konfiguration nach den Anmeldedaten für die Datenbank. Der zweite Versuch mit Dirty Cow Finden sie dabei die Login-Daten für ein Root-Konto, versuchen sie, sich mit den gefundenen Zugangsdaten auch beim Webserver anzumelden. Wenn diese Methode nicht funktioniert, kommt Dirty Cow dann als zweiter Exploit zum Einsatz. Dirty Cow wurde schon 2016 zum ersten Mal beschrieben. [...]

2018-11-21T22:24:04+02:00November 21st, 2018|CMS|1 Kommentar
Weiterlesen

Aufruf zum Patchen von Drupal-Seiten

In dem weit verbreiteten Content Management System (CMS) Drupal stecken noch mehrere zum Teil als "kritisch" eingestufte Sicherheitslücken. Inzwischen sind aber auch schon fehlerbereinigte Versionen verfügbar. Weil Angreifer über diese Lücken die Kontrolle über solche Internetseiten erlangen könnten, sollte die Aktualisierung des CMS zügig erfolgen. Die gepatchten Versionen Die Entwickler des CMS haben die Schwachstellen in den Drupal-Versionen 7.60, 8.5.8 und 8.6.2 geschlossen. Wer noch ältere Versionen der Software einsetzt, sollte zumindest auf Version 8.5.x aktualisieren. Dieser Versionsstrang erhält den Entwicklern zufolge noch bis zum Mai 2019 Sicherheitsupdates – dann wird bei der nächsten Wartung sowieso ein Upgrade nötig. Die kritischen Sicherheitslücken In der Sicherheitswarnung findet man Infos zu den Lücken. Die als kritisch eingestuften Schwachstellen finden sich im Contextual-Links-validation-Modul und im Mailsystem DefaultMailSystem::mail() von Drupal. Aktuell ist noch nicht viel über die Angriffsszenarien dazu bekannt. Es heißt aber, dass allein schon der Versand von präparierten Mails zur Ausführung von Schadcode führen kann.

2018-10-20T22:30:41+02:00Oktober 20th, 2018|Allgemein, CMS, Webwerkzeuge|Kommentare deaktiviert für Aufruf zum Patchen von Drupal-Seiten
Weiterlesen

Viele Drupal-Websites sind immer noch verwundbar

Man mag es kaum glauben, aber noch immer gibt es über 100.000 auf dem CMS Drupal basierende Websites, die über eine lange bekannte kritische Sicherheitslücke, über die wir auch schon vor über zwei Monaten berichtet haben, angreifbar sind. Sicherheitsupdates gegen die Schwachstelle sind seit über zwei Monaten verfügbar. In diesen Tagen sind Sicherheitsforscher von Bad Pockets Report auf über 115.000 Drupal-Websites gestoßen, die anfällig für Angriffe über die kritische Sicherheitslücke CVE-2018-7600 sind, wie sie in einem Blogeintrag berichten. Die Schwachstelle ist schon seit Ende März bekannt, und zu diesem Zeitpunkt erschienen auch Sicherheitspatches gegen das Problem. Nach eigenen Angaben haben die Sicherheitsforscher eine halbe Million Drupal-Webseiten untersucht, die die Version 7 des Content Management Systems (CMS) nutzen. Davon war noch etwa ein Viertel über CVE-2018-7600 verwundbar. Rund ein Drittel hatten bereits eine abgesicherte Version installiert. Bei 47 Prozent der Websites konnten die Sicherheitsforscher die genutzte Drupal-Version nicht ermitteln. Updates schon seit Ende März verfügbar Erwartungsgemäß kam es nach der Veröffentlichung von Details zur Lücke  zu  ersten Angriffen,was unter anderem eine Webseite von des Computerherstellers Lenovo traf. Die Schwachstelle gibt es sowohl in Drupal 7.x als auch in Drupal 8.x. Die Ausgaben ab 7.58 und 8.5.1 sind schon abgesichert. Wegen der Schwere der Sicherheitslücke bekommen selbst die eigentlich nicht mehr [...]

2018-06-05T18:55:40+02:00Juni 5th, 2018|Allgemein, Coding, Javascript, PHP, Webwerkzeuge|Kommentare deaktiviert für Viele Drupal-Websites sind immer noch verwundbar
Weiterlesen

Drupal-Update schließt extrem kritische Lücke

Ein wichtiger Termin für alle, die ihre Internetseiten auf Basis des CMS Drupal erstellt haben: Am 28. März zwischen 20:00 und 21:30 deutscher Zeit wollen die Drupal-Entwickler Sicherheitsupdates für das Content Management System (CMS) zum Download bereitstellen. Diese Updates für diverse Varianten des CMS Drupal schließen eine extrem kritische Sicherheitslücke, kann man der Vorankündigung entnehmen. Die Updates soll es nicht nur für die noch supporteten Versionen 7.x und 8.5.x geben. Wegen der Schwee der Lücke wollen die Entwickler auch noch einmal Updates für die eigentlich nicht mehr im Support befindlichen Versionen  8.3.x und 8.4.x zur Verfügung stellen. Angriffe sind bald zu erwarten Die Admins von Websites unter Drupal sollten die Sicherheitsupdates am nächsten Mittwoch möglichst zügig installieren, weil potentielle Angreifer in wenigen Stunden Exploits entwickeln könnten, warnt das Team von Drupal. Aus diesem Grund gibt es aktuell auch noch keine weiteren Infos zu dieser Schwachstelle.

2018-03-23T21:17:26+02:00März 23rd, 2018|CMS|Kommentare deaktiviert für Drupal-Update schließt extrem kritische Lücke
Weiterlesen

Veraltete WordPress-Plugins locken Hacker an

Die Sicherheitsfirma Sucuri hat im ersten Quartal dieses Jahres mehr als 11.000 kompromittierte Internetseiten untersucht. Aus ihrem Bericht geht hervor, dass häufig  erweiterbare Komponenten von CMS den Angreifern als Einfallstor dienen. Mehr als 1 Milliarde Internetseiten auf CMS-Basis Zurzeit sind über eine Milliarde Internetseiten aufrufbar, und hinter mehr als einem Drittel von ihnen stehen die Content-Management-Systeme (CMS) WordPress, Joomla, Drupal und Magento. Von diesen CMS hat WordPress einen Marktanteil von über 60 Prozent, was auch auf seine durch Themes und Plugins vielfach erweiterbare Plattform zurückzuführen ist. Bei WordPress fanden die Sucuri-Sicherheitsforscher auf jeder vierten der gehackten Seiten veraltete und anfällige Versionen der Plugins RevSlider, GravityForms und TimThumb. Die untersuchten Hackerangriffe hatten jedoch kaum etwas mit der Kernanwendung des CMS zu tun, sondern mehr mit unsachgemäßer Installation, Konfiguration und Wartung durch Administratoren oder Hoster. Die Infektionsursachen Die häufigste Ursache von Infektionen waren Schwachstellen in den Erweiterungs-Komponenten i.e. Plugins, Erweiterungen, Module, Templates, Themes und ähnlichen Komponenten Obwohl schon lange automatische Updates möglich sind, waren 56 Prozent aller infizierten WordPress-Sites nicht auf dem aktuellen Stand. Das ist im Vergleich zu den anderen Plattformen noch ein guter Wert, denn Joomla war zu 84 Prozent veraltet, Drupal zu 81 Prozent und Magento sogar zu 96 Prozent! Ursachen für die mangelhaften Updatestände sind stark angepasste Installationen, Probleme mit der Rückwärtskompatibilität und last not least fehlende Mitarbeiter mit der notwendigen Kompetenz… Auf 66 Prozent aller kompromittierten Installationen fand Sucuri eine PHP-basierte Backdoor. Durch diese Hintertüren konnten [...]

2018-01-27T21:20:02+02:00Mai 25th, 2016|CMS, CSS, HTML, PHP|Kommentare deaktiviert für Veraltete WordPress-Plugins locken Hacker an
Weiterlesen

Sicherheitsupdate für CMS Drupal

Ersteller und Administratoren von Webseiten, die mit dem Content Management System (CMS) Drupal aufgebaut sind, sollten jetzt dringend die CMS-Software aktualisieren. Das soeben veröffentlichte Sicherheitsupdate für die Drupal-Versionen 6,7 und 8 beseitigt insgesamt 10 Sicherheitslücken in den Kernroutinen des CMS (SA-CORE-2016-001). Eine der Lücken wurde als „kritisch“ eingestuft, sechs davon wurden in die zweithöchsten Priorität „moderat kritisch“ eingeordnet. Die Probleme gehen auf diverse Bugs in der Software zurück. Das geht von Schwachstellen beim Upload von Dateien und über defekte APIs bis hin zu Lücken, die es Angreifern erlauben, mit Phishing-Attacken Besucher einer Seite auf bösartige andere Internetseiten ihrer Wahl weiterzuleiten. Die genannte kritische Lücke ist im Grunde ein Programmierfehler, der einem Nutzer in einem Webformular Buttons anzeigt, die der auf Grund seiner Rechte eigentlich gar nicht sehen (und vor allem nicht benutzen) dürfte. So können normale Benutzer plötzlich Admin-Rechte bekommen. Wer immer noch Drupal 6 einsetzt, sollten sein Systemauf Version 6.38 aktualisieren, Drupal-7-Nutzer sollten Version 7.43 herunterladen. Wer die neueste Drupal-Version benutzt, braucht das Update auf Version 8.0.4. Dieser Sicherheitsupdate markiert jetzt auch das Ende von Drupal 6 bzw. seines Support-Zyklus – weitere Updates für die 6er-Schiene wird es danach nicht mehr geben.

2016-02-25T17:04:25+02:00Februar 25th, 2016|Allgemein, Webwerkzeuge|Kommentare deaktiviert für Sicherheitsupdate für CMS Drupal
Weiterlesen

Sicherheitslücke im CMS Drupal geschlossen

Das Drupal Security Team hat jetzt ein Update bereitgestellt, das eine kritische Sicherheitslücke schließt. Bisher konnten Angreifer darüber ohne Authentifizierung mit einem einzelnen POST-Request beliebige SQL-Befehle ausführen und auf diese Weise die Internetseite komplett übernehmen. Das CMS Drupal wird von mehreren bekannten Internetseiten benutzt, darunter die des Weißen Hauses und Musiker-Webseiten wie etwa die von Bob Dylan. Wer Drupal 7 installiert hat, sollte jetzt auch so schnell wie möglich das Core-Update einspielen. Wer den Core seines Drupal-Systems nicht kurzfristig austauschen kann, sollte wenigstens den Patch anwenden, der die problematische  Codezeile mit der Sicherheitslücke entschärft. Die ältere Version des CMS Drupal 6 ist von dem Problem nicht betroffen. Die Lücke steckt im  Datenbank-Layer, der erst mit Drupal 7 eingeführt wurde.

2014-10-16T23:52:23+02:00Oktober 16th, 2014|CSS, HTML, PHP|Kommentare deaktiviert für Sicherheitslücke im CMS Drupal geschlossen
Weiterlesen

Eine BSI-Studie zu WordPress, Drupal, Typo 3 & Co.

Die Sicherheit von Web-CMS-Lösungen wie Drupal, Joomla!, Plone, Typo3 und WordPress hat das Bundesamts für Sicherheit in der Informationstechnik (BSI) in einer Studie untersucht. Diese CMS werden gerne zur Erstellung von Homepages benutzt, weil sie nichts kosten. Gerade solche weit verbreiteten können für Angreifer das erste Ziel  bei dem Versuch sein, in das interne Netz eines Unternehmens einzudringen. Hinzu kommt, dass diese Systeme häufig ohne weitere Anpassungen installiert und benutzt werden, so dass eine neu gefundene Schwachstelle auf einen Schlag viele Internetseiten gleichzeitig gefährdet. Weiter Details und Erläuterungen dazu finden Sie auch bei Heise.

2018-01-27T21:20:32+02:00Juni 21st, 2013|Allgemein, CMS|Kommentare deaktiviert für Eine BSI-Studie zu WordPress, Drupal, Typo 3 & Co.
Weiterlesen
Nach oben