CMS / DATA PUBLICZNEGO OGŁOSZENIA
Drupalgeddon: SQL injection w Drupal 7
Błąd w warstwie obsługi bazy danych umożliwiał atak na stronę bez logowania do panelu CMS.
Co się wydarzyło?
15 października 2014 roku zespół Drupala opublikował SA-CORE-2014-005. Podatność dotyczyła mechanizmu, który miał pomagać w bezpiecznym wykonywaniu zapytań do bazy. Odpowiednio przygotowane żądanie pozwalało ominąć te zabezpieczenia.
Atak był możliwy dla anonimowego użytkownika. Zagrożone były więc także strony bez otwartej rejestracji kont. Historyczna poprawka znalazła się w Drupal 7.32. Nie oznacza to, że tę wersję należy instalować dzisiaj.
Co to oznacza dla administratora?
Po możliwym przejęciu CMS trzeba zbadać konta, bazę, pliki i mechanizmy utrzymania dostępu. Aktualizacja zamyka lukę, ale nie usuwa automatycznie zmian wcześniej wprowadzonych przez napastnika.