Kritiek lek in CMS-software Drupal gedicht

[Captain Kirk]

Er is een belangrijke beveiligingsupdate voor het populaire contentmanagementsysteem (CMS) Drupal verschenen die meerdere lekken verhelpt, waaronder een kwetsbaarheid waarmee aanvallers websites volledig kunnen overnemen. Het lek bevindt zich in de OpenID-module en maakt het mogelijk voor een aanvaller om als elke willekeurige gebruiker in te loggen, waaronder de beheerder, en hun account te kapen.

Via de overige kwetsbaarheden was het mogelijk om bepaalde informatie te achterhalen en gebruikers via een "open redirect" naar een derde website door te sturen. Dit zou bijvoorbeeld voor een social engineering-aanval kunnen worden gebruikt. Beheerders krijgen het advies om naar Drupal 6.36 of Drupal 7.38 te upgraden.

 

bron: security.nl