Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

La vulnerabilità in Drupal è devastante. Aggiornare di corsa!

Mar 29, 2018 Marco Schiaffino Emergenze, In evidenza, News, RSS, Vulnerabilità 1

L’hanno battezzata Drupalgeddon2 e consente di prender il controllo di un sito Internet con una facilità disarmante. Incrociamo le dita…

L’annuncio era stato dato con largo anticipo la settimana scorsa (ne abbiamo parlato in questo articolo) e la modalità lasciava presagire da subito che la vulnerabilità individuata dagli sviluppatori del Content Management System Drupal fosse particolarmente grave.

Ora che è stato rilasciato l’aggiornamento, conosciamo i dettagli della falla di sicurezza (CVE-2018-7600) e possiamo confermarlo: si tratta di un bug che ha ripercussioni devastanti.

Non a caso è stato battezzato con il nome di Drupalgeddon2 (richiamando Drupalgeddon, una vulnerabilità scoperta nel 2014) che lascia intendere l’impatto devastante che potrebbero avere degli attacchi che lo sfruttassero.

Sintetizzando, Drupalgeddon2 consente a chiunque di avviare l’esecuzione di codice in remoto sulla piattaforma senza che sia necessario avere una qualche forma di autenticazione. Tutto quello che serve è conoscere l’URL del sito.

Per la precisione, gli sviluppatori parlano di “vettori di attacco multipli” che consentono di compromettere completamente il codice all’interno del sito Internet.

Viste le caratteristiche del bug, la definizione di “altamente critico” non è un’iperbole.

Nella sezione “domande e risposte” i responsabili del CMS sostengono di non avere avuto notizie di attacchi che abbiano sfruttato la falla di sicurezza.

Considerando che Drupal viene usato da circa il 9% dei siti in circolazione, stiamo comunque parlando di una vulnerabilità che può causare grossi guai.

Ora comincia la corsa all’aggiornamento, che rappresenta l’unico strumento disponibile per mettere in sicurezza i siti creati con Drupal.

La speranza è che almeno la maggior parte degli utenti esegua l’update prima che qualcuno riesca a creare un exploit che sfrutta Drupalgeddon2. In caso contrario, potremmo trovarci a dover gestire una vera emergenza.