Kurznachrichten

Das am 16. August 2017 veröffentlichte Drupal 8.3.7 behebt drei kritische Sicherheitslücken, von denen alle vorherigen Versionen der 8.x-Reihe betroffen sind. Für Drupal 7.x existiert eine Warnung, die kritische Lücken in einem Third-Party-Plugin nennen. Die Infos dazu sind ebenfalls in der Sicherheitsmeldung (SA-CORE-2017-004) enthalten.

Die am 21. Juni 2017 veröffentlichten Versionen Drupal 8.3.4 und 7.56 beheben mehrere Sicherheitslücken. Betroffen sind alle älteren Versionen von Drupal 7.x. und 8.x. Das sofortige Aktualisieren wird dringend empfohlen.

Betroffen von der Access-Bypass-Lücke sind die Versionen 8.2.7 oder älter sowie 8.3.0 oder älter. Unter gewissen Voraussetzungen kann der Hacker Zugriff auf das System erlangen und einen User-Account anlegen. Das Sicherheitsrisiko wird als kritisch (17/25) eingestuft. Die Versionen 8.2.8 und 8.3.1, veröffentlicht am 19. April 2017 beheben die Schwachstelle.

Die am 15.3.2017 veröffentlichte Version Drupal 8.2.7 behebt 1 als kritisch und 2 als moderat eingestufte Sicherheitslücken. Wer Drupal 8.x installiert hat, sollte schnell aktualisieren.

Zwei als „weniger kritisch“ und zwei als „moderat kritisch“ eingestufte Schwachstellen werden mit den nun zur Verfügung stehenden Updates beseitigt. Es wird empfohlen Drupal Core 7.x auf die Version 7.52 und Drupal Core 8.x auf die Version 8.2.3 zu aktualisieren. Die Sicherheitsmeldung wurde am 16.11.2016 herausgegeben.

Das Drupal Security Team hat Anfang letzter Woche über eine Sicherheitslücke informiert (Advisory ID: DRUPAL-PSA-2016-003), die als kritisch eingestuft wird. Es wurden vermehrt Attacken gegen fehlkonfigurierte Websites festgestellt.

Die Schwachstelle betrifft Websites, die das Hochladen von Dateien anonymen, bzw. nicht überprüften Benutzern ermöglichen und diese Dateien nicht im private file system gespeichert werden. Die meisten Meldungen berichten über Probleme mit dem Webform-Modul, andere Module sind aber genauso anfällig. Das Team hat ein Workaround bereitgestellt, damit Drupal-Administratoren die Fehlkonfiguration beheben können.

Kurz nach dem Release von Drupal 8.2.0 am 5. Oktober 2016 wurde die minor Version 8.2.1 mit ein paar kleineren Bugfixes nachgereicht. Drupal 8.2.0 enthält zusätzliche experimentelle Module, um Blocks auf eine Seite zu platzieren, Inhalte feiner granuliert im Frontend zu moderieren (zum Beispiel das Setzen der Status Entwurf, Archiviert und Veröffentlicht) sowie Datumsbereiche zu nutzen. Neben semantischer Versionierung, weiteren Autorenwerkzeugen und sonstigen Verbesserungen, wurden REST und die Developer API optimiert.

Von den 3 Sicherheitslücken werden 2 als kritisch und 1 als weniger kritisch eingestuft. Betroffen sind alle Drupal-Versionen 8.x. Details zu den Schwachstellen finden Sie in der news des Drupal Security Teams.