Worum es geht

Drupal ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in verschiedenen Drupal Erweiterungen ausnutzen, um Zugriffsbeschränkungen zu umgehen, geschützte oder sensible Inhalte offenzulegen, Benutzerkonten zu übernehmen, unberechtigte Änderungen oder Löschungen vorzunehmen, Zahlungsstatus zu manipulieren sowie Cross-Site-Scripting-Angriffe auszuführen.

Unter welchen Bedingungen?

Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• Zugriffsbeschränkungen zu umgehen
• geschützte oder sensible Inhalte offenzulegen
• Benutzerkonten zu übernehmen
• unberechtigte Änderungen oder Löschungen vorzunehmen
• Zahlungsstatus zu manipulieren sowie Cross-Site-Scripting-Angriffe auszuführen

Bin ich betroffen?

Betroffen sind laut BSI:

• Open Source Drupal AI <1.4.8
• Open Source Drupal Advanced Search <2.4.5
• Open Source Drupal AI Translate <1.4.1
• Open Source Drupal Calculate Working Days <2.0.3
• Open Source Drupal Component Blocks <1.2.7
• Open Source Drupal Email Verification / SMS Verification / OTP Verification <2.4.0
• Open Source Drupal Islandora <2.19.0
• Open Source Drupal Jsonapi Role Access <2.0.2
• Open Source Drupal Mailer Plus Log <1.2.7
• Open Source Drupal Media Library Importer <2.1.6
• Open Source Drupal Monobank Payment API <1.0.3
• Open Source Drupal PhotoSwipe <5.0.9

und 2 weitere

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Open Source Drupal AI 1.4.8
• Open Source Drupal Advanced Search 2.4.5
• Open Source Drupal AI Translate 1.4.1
• Open Source Drupal Calculate Working Days 2.0.3
• Open Source Drupal Component Blocks 1.2.7
• Open Source Drupal Email Verification / SMS Verification / OTP Verification 2.4.0
• Open Source Drupal Islandora 2.19.0
• Open Source Drupal Jsonapi Role Access 2.0.2
• Open Source Drupal Mailer Plus Log 1.2.7
• Open Source Drupal Media Library Importer 2.1.6
• Open Source Drupal Monobank Payment API 1.0.3
• Open Source Drupal PhotoSwipe 5.0.9

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.