Einschätzung zum SA-CORE-2015-002
Eingetragen von t2k (258)am 18.06.2015 - 12:56 Uhr in
Hallo Forum!
Ich habe gestern die Dupal-Scurity-News erhalten.
Die Nachricht zum Core hat mich etwas verunsichert.
Ist ein Update eurer Einschätzung nach unbedingt erforderlich auch wenn man die unten aufgeführten Module nicht im Einsatz hat?
- * Impersonation (OpenID module - Drupal 6 and 7): *CVE-2015-3234*
- * Open redirect (Field UI module - Drupal 7): *CVE-2015-3232*
- * Open redirect (Overlay module - Drupal 7: *CVE-2015-3233*
- * Information disclosure (Render cache system - Drupal 7): *CVE-2015-3231*
Ist das "Render cache system"-Problem so schwerwiegend das ein Update erforderlich ist?
Danke für euren Rat und beste Grüße!
- Anmelden oder Registrieren um Kommentare zu schreiben
Die Hürden zum Ausnutzen
am 18.06.2015 - 13:14 Uhr
Die Hürden zum Ausnutzen dieser Schwächen liegen doch etwas höher. Die Render cache Problematik ist in 99% der Fälle nicht gegeben. Auch die anderen Randbedingungen sind Für Drupal 7 meist nicht erfüllt. Von daher kannst Du dir mit dem Einspielen vermutlich etwas Zeit lassen. Andererseits ist es wichtig, daß bei festgestellten Schwächen eine Warnung und ein Update von Drupal bereitgestellt wird. Letztlich ist aber jeder selbst für seine Seite verantwortlich und muß entscheiden, wie schnell er Security Updates einspielt.
.
Werner
drupal-training.de
Moderator und Drupal Trainer
* - - - - - - - - - - - - - - - - - - - - - - - - - - - *
Alle klar.Dann ist das ja
am 18.06.2015 - 18:33 Uhr
Alles klar.
Dann ist das ja nicht ganz so "critical" wie ich befürchtet habe.
Vielen Dank!
Critical ist der Einsatz vom "OpenID module"
am 18.06.2015 - 23:58 Uhr
Wo das im Einsatz ist, ist große Eile beim Update geboten, insbesondere wenn dies für Admin-Accounts oder gar dem user/1 im Einsatz ist. Auf Drupal-Sites, bei denen dieses Modul nicht aktiviert ist, gibt es auch kein Problem bezüglich der als kritisch eingestuften Lücke zu diesem Core-Modul.
Bleiben dann noch die anderen Lücken, die aber weniger kritisch sind: https://www.drupal.org/SA-CORE-2015-002
# DrupalCenter-Moderator # https://www.drupal.org/u/c-logemann
# CTO der Nodegard GmbH: Tech. Concepts | Security + Availability Operations / Wir unterstützen IT-Abteilungen, Agenturen, Freiberufler:innen
Danke für den Nachtrag!
am 19.06.2015 - 12:27 Uhr
Das Modul ist aber keine Core-Modul, oder?
Hab das nicht aktiv/installiert.
Die anderen Meldungen betreffen ebenefalls nur Module die ich nicht nutze.
Danke für diese Info!!!
Doch, das ist ein Core-Modul,
am 19.06.2015 - 16:59 Uhr
Doch, das ist ein Core-Modul, aber man muß es aktivieren, damit es Auswirkungen hat.
.
Werner
drupal-training.de
Moderator und Drupal Trainer
* - - - - - - - - - - - - - - - - - - - - - - - - - - - *