Vandaag patch voor tweede grote Drupal-gat

Drupal-beheerders hebben als het goed is net een grote patchronde achter de rug. Einde vorige maand is een kritieke kwetsbaarheid geopenbaard (in versies 6, 7 en 8) waarvoor toen snel een patch is uitgebracht. Ook in dat geval heeft het Drupal-team vooraf gewaarschuwd dat het met een belangrijke security-update ging komen.

Cryptojackinggevaar

In de praktijk blijkt deze fix voor het zogeheten Drupalgeddon 2 niet door iedereen vlot te zijn geïnstalleerd. Kwaadwillenden hebben al cryptominingcampagnes uitgevoerd waarbij kwetsbare Drupal-installaties zijn gekaapt door malware om vervolgens cryptovaluta te minen voor de kapers. Terwijl het gat van eind maart volgens Drupals waarschuwing binnen zeer korte tijd zou zijn te misbruiken, lijkt de vandaag te patchen kwetsbaarheid minder ernstig.

In het securitybulletin van begin deze week wordt namelijk gesproken van een “kritieke release” terwijl in de vooraankondiging van de vorige fix de formulering “zeer kritieke release” is gebruikt. Opvallend is wel dat de vandaag verschijnende patch een follow-up is voor de fix van vorige maand. De kwetsbaarheid lijkt dus nog niet geheel verholpen door de update die op de valreep van maart is uitgebracht.

Updaten, desnoods naar tussenversie

Websites die op Drupal draaien en versie 7.x of 8.5.x gebruiken, kunnen meteen updaten met de patch die vandaag uitkomt. Sites die op versie 8.4.x zitten, moeten eerst updaten naar het vandaag uitkomende 8.4.8. Pas daarna kunnen ze naar 8.5.3 of naar de nieuwste securityrelease gaan. Officieel krijgt de 8.4.x-reeks namelijk geen security-updates meer, maar er wordt nu dus toch een backport uitgebracht.

Het securitybulletin dat vandaag wordt gepubliceerd samen met de patch voor het tweede grote gat in Drupal zal de diverse versienummers voor de verschillende Drupal-reeksen belichten. De update-rapportagepagina in Drupals beheeromgeving zal normaliter de meest courante versie 8.5.x aanraden, maar volgens het Drupal-team is het ook doenbaar om tijdelijk te updaten naar een ge-backporte versie (zoals 8.4.8). Dit zorgt dan voor een vlottere fix.

Wat te doen na websitehack

Details over de nieuwe kwetsbaarheid (met CVE-nummer 2018-7602) worden nog niet vrijgegeven. Drupal biedt op zijn site wel uitgebreide instructies wat te doen als een website met dat CMS al geïnfecteerd of gekaapt is. Die handleiding is begin deze maand nog bijgewerkt.