NCSC waarschuwt voor ernstige lekken in Drupal

De kwetsbaarheden bevinden zich in zowel Drupal Core als in diverse aanvullende modules en thema's. Door het ernstigste lek kan een kwaadwillende via extra plug-ins of aangepaste code willekeurige, schadelijke programma's op de webserver laten uitvoeren.

Daarnaast zijn er beveiligingslekken aangetroffen die gebruikers met specifieke rechten in staat stellen schadelijke scripts toe te voegen. Dat kan ertoe leiden dat gevoelige gegevens worden gestolen of dat delen van de website worden overgenomen. Misbruik is overigens niet eenvoudig; in veel gevallen zijn specifieke extra modules of plug-ins vereist om de aanval te laten slagen.

De mogelijke gevolgen van een geslaagde aanval zijn ingrijpend. Aanvallers kunnen informatie stelen of aanpassen, de website verstoren of de gehele webomgeving overnemen. Hoewel er op dit moment nog geen openbare hulpmiddelen beschikbaar zijn om de lekken automatisch uit te buiten en er evenmin meldingen van daadwerkelijk misbruik zijn, maakt de grote impact snelle actie noodzakelijk.

Drupal heeft inmiddels beveiligingsupdates beschikbaar gesteld die de problemen verhelpen. Het NCSC adviseert organisaties en beheerders om de nieuwste versies direct door te voeren. Beheerders die niet zeker weten of hun Drupal-omgeving kwetsbaar is, worden opgeroepen contact op te nemen met hun IT-dienstverlener voor hulp bij het doorvoeren van de updates.