Drupal: Schwachstelle ermöglicht Ausführen von beliebigem Programmcode mit den Rechten des Dienstes
WID-SEC-2024-1938 · erstmals 19.11.2020 · aktualisiert 24.08.2026 · CVSS 9,8
Worum es geht
Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Drupal ausnutzen, um beliebigen Programmcode mit den Rechten des Dienstes auszuführen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- beliebigen Programmcode mit den Rechten des Dienstes auszuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Debian Linux
- Ubuntu Linux
- Open Source Drupal <9.0.8
- Open Source Drupal <8.9.9
- Open Source Drupal <8.8.11
- Open Source Drupal <7.74
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source Drupal 9.0.8
- Open Source Drupal 8.9.9
- Open Source Drupal 8.8.11
- Open Source Drupal 7.74
Wird die Lücke schon ausgenutzt?
- CVE-2020-13671: laut CISA in freier Wildbahn ausgenutzt, im Katalog seit 18.01.2022.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Drupal Security Advisory vom 2020-11-18 www.drupal.org
- Debian Security Advisory DLA-2458 vom 2020-11-19 lists.debian.org
- Ubuntu Security Notice USN-6981-1 vom 2024-08-27 ubuntu.com
- Ubuntu Security Notice USN-6981-2 vom 2024-09-03 ubuntu.com
- PoC CVE-2020-13671 vom 2026-08-23 github.com
CVE: CVE-2020-13671
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.