W ubiegłym tygodniu eksperci uraczyli nas licznymi komunikatami o lukach - na szczególną uwagę zasługują zwłaszcza POODLE i błąd w mechanizmie osadzania obiektów wykorzystywany przez grupę SandWorm do atakowania m.in. polskich firm enegetycznych. Na blogu CERT Polska można jednak przeczytać, że „bezpośrednio najgroźniejszy” jest Drupageddon.

Drupal, fot. Gil C / Shutterstock.com

Jest to - jak zresztą wynika z nazwy - błąd w Drupalu, open-source'owym systemie zarządzania treścią, z którego korzysta około 2 proc. stron internetowych, zarówno prywatnych, jak i korporacyjnych czy rządowych.

Luka umożliwia przejęcie pełnej kontroli nad serwisem zbudowanym na bazie Drupala w wyniku zwykłego ataku SQL Injection - wystarczy, by atakujący miał konto administratora strony i odpowiednio spreparował URL. Dokładny opis wykorzystania podatności znajdziemy na stronie niemieckiej firmy SektionEins, która zauważa, że wykryty przez nią błąd istniał w systemie od 2011 roku.

Dla wszystkich administratorów stron opartych na Drupalu mamy dobrą wiadomość: nowo wydana wersja CMS-a, oznaczona numerem 7.32, usuwa omawianą podatność. Warto pospieszyć się z łataniem, bo błąd jest naprawdę poważny.

Czytaj także: POODLE - jak zabezpieczyć się przed atakiem za pomocą SSL 3.0