Kritische Lücken in Drupal-Modulen

Zwei Sicherheitslücken in den Modulen reCaptcha v3 und Webform machen Angriffe auf mit dem Content Management System (CMS) Drupal 8.x erstellte Internetseitem angreifbar. Deshalb haben die Drupal-Entwickler das Sicherheitsrisiko als "kritisch" bewertet. Inzwischen sind aber abgesicherte Versionen sind verfügbar. Die reCaptcha-Lücke Wegen einer fehlenden Überprüfung könnten kriminelle Angreifer nach einer erfolgreich gelösten reCaptcha-v3-Abfrage entweder ungültige oder unvollständige Formulare auf den Server übertragen. Wo genau das Ziel eines solchen Angriffs liegt, führt Drupal in seiner Sicherheitswarnung dazu leider nicht weiter aus. Die abgesicherte Versiondes CMS trägt die Versionsnummer 8.x-1.2. Die Webforms-Lücke Ein ähnlicher Fehler im Modul Webforms führt dazu, dass Angreifer auf eigentlich unveröffentlichte Informationen zugreifen könnten. Hier schließt die Version 8.x-5.12  die zweite Sicherheitslücke in dem beliebten CMS. Weitergehende Informationen zu den Sicherheitslücken gibt Drupals Security Advisory: reCAPTCHA v3 - Critical - Access bypass - SA-CONTRIB-2020-019 Critical - Access bypass - SA-CONTRIB-2020-018

2020-05-15T10:06:13+02:00Mai 15th, 2020|Coding, Sicherheit, Webwerkzeuge|Kommentare deaktiviert für Kritische Lücken in Drupal-Modulen
Weiterlesen

Auch Firefox kennzeichnet jetzt HTTP-Seiten als unsicher

Der Mozilla-Browser Firefox wird künftig alle Internetseiten, die noch das HTTP-Protokoll ohne Verschlüsselung benutzen, als „unsicher“ markieren. Dann zeigt der Mozilla-Browser in der Adressleiste links von der URL ein durchgestrichenes Schloss-Symbol mit dem Hinweis „Not Secure“ (unsicher) an. Ghacks berichtet dazu, dass die Änderung mit der stabilen Version von Firefox 70 eingeführt werden soll, die Mozilla schon für den 23. Oktober angekündigt hat. Internetseiten, die auf eine verschlüsselte Datenübertragung per sicherem HTTPS verzichten, sind aktuell eigentlich nur daran zu erkennen, dass das grüne Schloss neben ihrer URL dabei nicht erscheint. Klickt man dann auf das Ausrufezeichen in der Adressleiste, wird bestätigt, dass die Verbindung nicht sicher ist und Daten wie zum Beispiel Passwörter und Kreditkartendaten eventuell von unbefugten Dritten mitgelesen werden können. Warnung schon mit Firefox 68 aktivierbar Nach der Installation ist die neue Sicherheitswarnung dem Bericht zufolge inzwischen in der Nightly-Version von Firefox 70 schon aktiviert. Wer die Warnung schon in Firefox 68 haben möchte, kann sich das Feature schon über die Konfigurationsseite „about:config“ freischalten. Hier müssen die vier Parameter „security.insecure_connection_icon.enabled“, „security.insecure_connection_icon.pbmode.enabled“, „security.insecure_connection_text.enabled“ „security.insecure_connection_text.pbmode.enabled“ durch einen Doppelklick auf den Wert „True“ geändert werden. Danach wird beim Laden einer unsicheren die „Nicht sicher“-Warnung in der Adressleiste erscheinen.

2019-07-18T23:44:05+02:00Juli 18th, 2019|Browser, Webwerkzeuge|Kommentare deaktiviert für Auch Firefox kennzeichnet jetzt HTTP-Seiten als unsicher
Weiterlesen

Das CMS Drupal bekommt ein Sicherheitsupdate

In dem ziemlich verbreiteten Content-Management-Systems (CMS) Drupal gibt es eine Schwachstelle, die Angreifern die Manipulation von Dateien im CMS aus der Ferne möglich macht.. Das BSI hat dazu eine Sicherheitswarnung der zweithöchsten Risikostufe (4 von 5)herausgegeben, und die Drupal-Entwickler selbst wählten gemäß "NIST's Common Misuse Scoring System (CMSS)" die Einordnung "moderately critical". Updates, die diese Schwachstelle beseitigen, stehen jetzt zur Verfügung und sollten auch ziemlich umgehend eingespielt werden. Selbe Schwachstelle in TYPO3 bereits im letzten Sommer geschlossen Drupal gibt in seinem Sicherheitshinweis zur Schwachstelle (CVE-2019-11831) die Drittanbieter-PHP-Komponente "Phar Stream Wrapper" als Quelle des Problems an. Dabei verweisen sie auch auf ein aktuelles Dokument auf der Internetpräsenz des CMS Typo3, in dem die Schwachstelle detailliert erläutert wird. Dieses Dokument wiederum verweist seinerseits auf einen Typo3-Sicherheitshinweis, der bestätigt, dass CVE-2019-11831 auch in Typo3 existierte. Dort eliminierten die Entwickler  die Schwachstelle allerdings schon im Juli 2018 aus ihrem CMS. Auch das Phar Stream Wrapper Package selbst wurde mittlerweile bereinigt. Die verfügbaren Versionen des Updates Drupal rät den Benutzern von Drupal 8.7 zum Update auf Drupal 8.7.1, während Benutzer von Version 8.6 auf die Version 8.6.16 umsteigen sollten . Für die 8er-Versionen vor 8.6.x gibt es bekannterweise keine Sicherheitsupdates mehr.  Deshalb sollten die auch gar nicht mehr genutzt werden. Für Benutzer von Drupal 7 beseitigt die Aktualisierung auf [...]

2019-05-10T18:46:21+02:00Mai 10th, 2019|Coding, Webwerkzeuge|Kommentare deaktiviert für Das CMS Drupal bekommt ein Sicherheitsupdate
Weiterlesen
Nach oben