Drupal ist ein Content-Management-System, das hauptsächlich bei der Organisation von Webseiten zum Einsatz kommt, und stark verbreitet ist.
In zahlreiche Drupal-Installationen schlummert eine schwerwiegende Sicherheitslücke, die es einem entferntern Angreifer ermöglicht die komplette Webseite zu übernehmen. Anfällig hierfür sind mit Drupal 7.x und 8.x gebaute Webseiten. Insgesamt sollen so laut den Drupal-Entwicklern mehr als eine Million Systeme betroffen sein. Die Versionen 7.58 und 8.5.1 sind schon korrigiert.
Details zur Sicherheitslücke wurden nicht veröffentlicht. Allerdings beschreibt
das offizielle Advisory, dass ein Angreifer keinerlei Authentifkation am System benötigt, um die Attackezu starten. Die Entwickler melden dort auch, dass die Schwachstelle aktuell
noch nicht ausgenutzt wird.
Das Advisory enthält keine Details zur eigentlichen Ursache der Schwachstelle. Es findet sich lediglich ein Hinweis darauf, dass der Kern des Content-Management-Systems betroffen sein soll. Hierdurch können Angreifer Inhalte einer Drupal-Webseite beliebig modifizieren oder einfach löschen. Wer sich die veröffentlichten Patches allerdings genauer ansieht, erkennt schnell, dass es sich um Programmierfehler in den includes/request-sanitizer.inc- und Security/RequestSanitizer.php-Dateien handelt. Diese Dateien enthalten unter anderem Routinen zur Kontrolle von Benutzereingaben.
Ein wenig oberflächlich recherchiert. Richtig ist, dass die beiden request-sanitizer Dateien erst mit den beiden neuen Drupalversionen eingeführt wurden. Vorher gab es die nicht und können dementsprechend auch keine Sicherheitslücken enthalten haben.