Core

Die Schwachstelle steckt im Kern (Core) von Drupal, dem Unterbau, auf dem das gesamte Content-Management-System und die darauf aufbauenden Websites laufen. Ursache ist eine unzureichende Bereinigung von Sonderzeichen in SQL-Befehlen: Über die Datenbank-Abstraktionsschicht, die alle Datenbankzugriffe von Drupal vermittelt, lassen sich besonders präparierte Anfragen so einschleusen, dass eigener SQL-Code in die Datenbankabfragen gelangt – eine klassische SQL-Injection. Ein Angreifer kann dadurch nicht nur die Datenbank manipulieren, sondern sich erhöhte Rechte verschaffen und im weiteren Verlauf sogar beliebigen Code aus der Ferne ausführen und so die Kontrolle über das System übernehmen. Da der Defekt im zentralen Datenbank-Zugriffsweg von Drupal sitzt, betrifft er die Plattform grundlegend und potenziell jede damit betriebene Website, unabhängig von den eingesetzten Zusatzmodulen.