Worum es geht

Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein Angreifer kann mehrere Schwachstellen in Drupal ausnutzen, umSQL-Injection-Angriffe durchzuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen und Cross-Site-Scripting-Angriffe durchzuführen.

Unter welchen Bedingungen?

Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.

Bin ich betroffen?

Betroffen sind laut BSI:

• Open Source Drupal Ray Enterprise Translation <11.0.4
• Open Source Drupal Ray Enterprise Translation <4.1.4
• Open Source Drupal Ray Enterprise Translation <4.0.4
• Open Source Drupal Login Disable <2.1.4
• Open Source Drupal Location Selector <8.x-1.3
• Open Source Drupal ECA <3.1.4
• Open Source Drupal ECA <3.0.12
• Open Source Drupal ECA <2.1.20
• Open Source Drupal UI Patterns <2.0.17
• Open Source Drupal Siteimprove Analytics <2.0.1
• Open Source Drupal AI SEO/GEO Analyzer <1.1.3
• Open Source Drupal Raw Formatter [Meta Tag Formatter]

und 2 weitere

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Open Source Drupal Ray Enterprise Translation 11.0.4
• Open Source Drupal Ray Enterprise Translation 4.1.4
• Open Source Drupal Ray Enterprise Translation 4.0.4
• Open Source Drupal Login Disable 2.1.4
• Open Source Drupal Location Selector 8.x-1.3
• Open Source Drupal ECA 3.1.4
• Open Source Drupal ECA 3.0.12
• Open Source Drupal ECA 2.1.20
• Open Source Drupal UI Patterns 2.0.17
• Open Source Drupal Siteimprove Analytics 2.0.1
• Open Source Drupal AI SEO/GEO Analyzer 1.1.3

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.