Tietoturva

Tietoturvamoka kuin tuomiopäivä: Korjauksesta yli 2 kuukautta – yli 100000 verkkosivustoa yhä vaarassa

Julkaistu:

Tietoturva
Verkkosivustoilla käytetyn Drupal-sisällönhallintaohjelman kautta levitetään yhä haittaohjelmia sivuilla vierailevien koneille, vaikka korjaus on ollut jo pitkään saatavilla.
Yli 115 000 verkkosivustoa ei ole asentanut 10 viikkoa sitten julkaistuja paikkauksia, jotka korjaavat Drupal-sisällönhallintajärjestelmän tietoturva-aukkoja, kertoo Ars Technica -verkkolehti. Sivustojen ylläpitäjät eivät ole pysyneet päivitysten tasalla, ja aukkoja löytyy yhä muun muassa Yhdysvalloissa yliopistojen, valtion viranomaisten ja mediayhtiöiden palvelimista.

Joidenkin sivustojen kautta levitetään esimerkiksi haittaohjelmia tai niitä käytetään virtuaalivaluutan louhimiseen. Verkkosivustoille on upotettu esimerkiksi koodia, jonka takia myös verkkosivuilla vierailevien käyttäjien tietokoneet osallistuvat louhintaan.

Esimerkiksi tietoturvayhtiö Malwarebytes on löytänyt 900 Drupal-ohjelmistoa käyttävää saastunutta verkkosivustoa. Tosin osa niistä oli ilmeisesti perustettu vain testitarkoituksiin, eikä niillä ole juuri liikennettä.

Suuri syy ongelmiin on Drupal-ohjelmiston maaliskuussa julkaistussa huonossa päivitysversiossa, jonka tietoturvahaavoittuvuudet päästivät hakkerit syöttämään etäyhteydellä haittakoodia järjestelmiin. Drupalin ylläpitäjät julkistivat huhtikuussa ohjelmasta paikatun version, josta siitäkin paljastui tietoturva-aukko.
Mainos (Teksti jatkuu alla)
Mainos päättyy

Virhe on saanut raaamatulliseen tuomiopäivään viittaavan kutsumanimen Drupalgeddon2, sillä kyse ei ole suinkaan ensimmäisestä – eikä oikeastaan toisestakaan – ohjelmiston laajasta tietoturvaongelmasta.

Niin sanottu Drupalgeddon1 tapahtui vuonna 2014, kun sisällönhallintaohjelmasta paljastui yli kymmentä miljoonaa verkkosivustoa koskeva tietoturva-aukko. Hakkerien hyökkäykset alkoivat vain tunteja aukon ja paikkauksen julkistamisen jälkeen. Drupalin aukko paikattiin myös vuonna 2016 useampaan kertaan.

Kommentit

    Näytä lisää
    Kommentointi on päättynyt