Kritische Sicherheitslücken in Drupal SAML SSO können Zugriffskontrollen umgehen
Drupal SAML SSO Sicherheitslücke: Das Drupal Security Team hat am 9. September 2026 eine umfangreiche Serie von Sicherheitsmeldungen für das Modul miniOrange SAML SSO – Service Provider veröffentlicht.
Die Schwachstellen betreffen mehrere sicherheitsrelevante Bereiche, darunter Zugriffskontrolle, SAML-Authentifizierung, Zertifikatsvalidierung, Kryptografie, Replay Protection, Cross-Site Scripting und Server Side Request Forgery.
Die schwerwiegendste Schwachstelle wird von Drupal als Critical 18/25 eingestuft. Betroffene Installationen sollten auf miniOrange SAML SSO – Service Provider 3.2.0 aktualisiert werden.
Laut Drupal.org wird das Modul auf ungefähr 2.374 Drupal-Websites eingesetzt. Da das Modul direkt am Authentifizierungsprozess beteiligt ist und mehrere Schwachstellen gleichzeitig behoben wurden, sollte dieses Sicherheitsupdate nicht unnötig aufgeschoben werden.
Drupal SAML SSO Sicherheitslücke in miniOrange
miniOrange SAML SSO – Service Provider wird verwendet, um Drupal-Websites über SAML 2.0 mit einem externen Identity Provider zu verbinden.
Das Modul befindet sich damit direkt innerhalb des Authentifizierungsprozesses einer Website. Sicherheitslücken in einem solchen Modul können daher erheblich größere Auswirkungen haben als Probleme in einem gewöhnlichen Inhalts- oder Darstellungsmodul.
Das Drupal Security Team hat am 9. September mehrere separate Sicherheitsmeldungen für dasselbe Produkt veröffentlicht. Da die Schwachstellen gemeinsam durch dasselbe Sicherheitsupdate behoben werden, behandelt Vservs sie in einer gemeinsamen Sicherheitsmeldung.
Fakten zur Drupal SAML SSO Sicherheitslücke
- Produkt: miniOrange SAML SSO – Service Provider
- Plattform: Drupal
- Betroffene Versionen: Versionen vor 3.2.0
- Gepatchte Version: 3.2.0
- Gemeldete Drupal-Installationen: ungefähr 2.374
- Höchste Drupal-Risikoeinstufung: Critical 18/25
- Authentifizierungsprobleme: Ja
- Probleme bei der Zugriffskontrolle: Ja
- Aktive Ausnutzung: Nicht bestätigt; Drupal stuft die Exploitability als Theoretical ein
- Erforderliche Maßnahme: miniOrange SAML SSO – Service Provider auf Version 3.2.0 aktualisieren
Welche CVEs wurden veröffentlicht?
Das Sicherheitsupdate umfasst mehrere Schwachstellen in miniOrange SAML SSO – Service Provider:
- CVE-2026-87943: Improper Access Control
- CVE-2026-87944: Improper Certificate Validation
- CVE-2026-87945: Open Redirect
- CVE-2026-87946: Weak Cryptographic Practices
- CVE-2026-87947: Authentication Bypass
- CVE-2026-87948: Cross-Site Scripting
- CVE-2026-87949: Cross-Site Scripting
- CVE-2026-87950: Embedded Credentials
- CVE-2026-87951: Information Disclosure
- CVE-2026-87952: Insufficient Replay Protection
- CVE-2026-87953: Server Side Request Forgery
CVE-2026-87943: unzureichende Zugriffskontrolle
Die schwerwiegendste Sicherheitsmeldung innerhalb dieses Updates betrifft CVE-2026-87943.
Drupal stuft diese Schwachstelle als Critical 18/25 ein.
Das Modul schützt bestimmte Funktionen, die ausschließlich für administrative Benutzer vorgesehen sind, nicht ausreichend.
Dadurch können unberechtigte Benutzer möglicherweise auf Funktionen zugreifen oder Konfigurationswerte verändern, die ausschließlich Benutzern mit höheren Berechtigungen zur Verfügung stehen sollten.
Da das Problem direkt die Zugriffskontrolle eines SAML-Authentifizierungsmoduls betrifft, empfiehlt Vservs, diese Schwachstelle mit hoher Priorität zu behandeln.
CVE-2026-87947: Problem bei der SAML-Authentifizierung
CVE-2026-87947 betrifft ein Authentication-Bypass-Problem bei der Verarbeitung des Signaturalgorithmus einer SAML Assertion.
Laut Drupal erzwingt das Modul nicht ausreichend, welcher Algorithmus zur Überprüfung einer SAML Assertion verwendet werden darf.
Der verwendete Algorithmus kann dadurch von der eingehenden SAML Response beeinflusst werden, anstatt ausschließlich anhand des für den Identity Provider konfigurierten Schlüsseltyps bestimmt zu werden.
Für eine Ausnutzung muss ein Angreifer eine speziell präparierte SAML Response an die betroffene Website übermitteln können.
Probleme bei der Zertifikatsvalidierung
CVE-2026-87944 betrifft eine unzureichende TLS-Zertifikatsvalidierung, wenn das Modul ausgehende HTTPS-Verbindungen herstellt.
Ein Angreifer, der Netzwerkverkehr abfangen oder umleiten kann, könnte dadurch möglicherweise einen vertrauenswürdigen externen Dienst imitieren und die Kommunikation der Drupal-Website beeinflussen.
Eine erfolgreiche Ausnutzung setzt voraus, dass der Angreifer tatsächlich in der Lage ist, Netzwerkverkehr der betroffenen Website abzufangen oder umzuleiten.
Replay Protection und Kryptografie
Das Sicherheitsupdate behebt außerdem Probleme bei der kryptografischen Verarbeitung des SAML-Verkehrs.
CVE-2026-87952 betrifft eine unzureichende Absicherung gegen die erneute Verwendung bereits akzeptierter SAML Assertions.
Unter bestimmten Umständen könnte eine gültige Assertion innerhalb ihrer Gültigkeitsdauer erneut übermittelt werden.
Ein Angreifer müsste dafür zunächst über eine gültige SAML Assertion verfügen.
CVE-2026-87946 betrifft schwächere kryptografische Praktiken, darunter nicht konstante Zeitvergleiche sowie vorhersehbare Werte bei der Generierung bestimmter SAML Request Identifier.
Drupal weist darauf hin, dass für diese kryptografischen Schwächen allein kein praktischer Authentication Bypass nachgewiesen wurde.
Server Side Request Forgery
CVE-2026-87953 betrifft Server Side Request Forgery, kurz SSRF.
Das Modul überprüft URLs aus den Identity-Provider-Metadaten nicht ausreichend, bevor der Drupal-Server Verbindungen zu diesen URLs herstellt.
Ein Angreifer, der die verwendeten Identity-Provider-Metadaten konfigurieren kann, könnte die Anwendung dadurch möglicherweise dazu bringen, Verbindungen zu unerwünschten Zielen aufzubauen.
Unter bestimmten Bedingungen könnte dies den Zugriff auf interne Netzwerkdienste ermöglichen, die über das öffentliche Internet nicht direkt erreichbar sind.
Das Risiko wird dadurch begrenzt, dass ein Angreifer zunächst über ausreichende Berechtigungen zum Konfigurieren der Identity-Provider-Metadaten verfügen muss.
XSS und Offenlegung von Informationen
Das Sicherheitsupdate enthält außerdem mehrere Probleme bei der Verarbeitung und Darstellung SAML-bezogener Informationen.
CVE-2026-87948 und CVE-2026-87949 betreffen Cross-Site-Scripting-Schwachstellen.
Weitere Sicherheitsmeldungen betreffen eingebettete Zugangsdaten und die mögliche Offenlegung sensibler Authentifizierungsinformationen.
Nicht jede einzelne Schwachstelle führt unmittelbar zur vollständigen Kompromittierung einer Drupal-Website. Das gesamte Update ist dennoch sicherheitsrelevant, da das betroffene Modul Bestandteil der zentralen Authentifizierungskette ist.
miniOrange SAML SSO auf Version 3.2.0 aktualisieren
Die dauerhafte Lösung für diese Drupal SAML SSO Sicherheitslücke ist die Installation der gepatchten Version des Moduls.
Drupal empfiehlt Benutzern von miniOrange SAML SSO – Service Provider ein Upgrade auf:
miniOrange SAML SSO – Service Provider 3.2.0
Wird das Modul über Composer verwaltet, sollte zunächst die aktuell installierte Version überprüft und das Update anschließend entsprechend dem üblichen Drupal-Deployment-Prozess durchgeführt werden.
Bei geschäftskritischen Umgebungen sollte vor dem Update eine aktuelle Sicherung der Dateien, Konfiguration und Datenbank erstellt werden.
SAML nach dem Update testen
Da das Update unmittelbar die Authentifizierungsschicht betrifft, sollte nach der Installation überprüft werden, ob die SAML-Integration weiterhin korrekt funktioniert.
Kontrollieren Sie mindestens:
- die normale SAML-Anmeldung über den Identity Provider;
- Single Sign-On;
- Single Logout, sofern verwendet;
- Role- und Attribute-Mapping;
- die konfigurierten Identity-Provider-Metadaten;
- Zertifikate und Signing-Einstellungen;
- Redirect-URLs;
- User Provisioning, sofern konfiguriert;
- Drupal- und Webserver-Logs auf Authentifizierungsfehler.
Auf mögliche Kompromittierung prüfen
Zum Zeitpunkt der Veröffentlichung ist keine aktive Ausnutzung dieser Schwachstellen bestätigt.
Es wurden ebenfalls keine zuverlässigen spezifischen Indicators of Compromise veröffentlicht, mit denen eine erfolgreiche Ausnutzung dieser Sicherheitslücken eindeutig festgestellt werden kann.
Vservs veröffentlicht daher keine unbestätigten IP-Adressen, Dateinamen oder andere spekulative IoCs.
Administratoren zuvor verwundbarer Installationen können dennoch auf allgemeine Auffälligkeiten im Zusammenhang mit der SAML-Authentifizierung prüfen:
- unbekannte oder unerwartete Änderungen an der miniOrange-SAML-Konfiguration;
- veränderte Identity-Provider-Metadaten;
- unerwartete Änderungen an Zertifikaten oder Signing-Einstellungen;
- unbekannte Redirect-URLs;
- unerwartete Administrator-Konten;
- unerwartete User- oder Role-Mappings;
- nicht erklärbare erfolgreiche SAML-Anmeldungen;
- eine ungewöhnlich hohe Anzahl fehlgeschlagener SAML-Authentifizierungen;
- unerwartete ausgehende HTTP- oder HTTPS-Verbindungen vom Drupal-Server.
Diese Prüfungen sind allgemeine Compromise-Checks. Eine einzelne Auffälligkeit beweist nicht automatisch, dass eine dieser CVEs erfolgreich ausgenutzt wurde.
Keine bestätigte aktive Ausnutzung
Das Drupal Security Team stuft die Exploitability der veröffentlichten Sicherheitsmeldungen als Theoretical ein.
Zum Zeitpunkt der Veröffentlichung haben wir keine zuverlässige Bestätigung gefunden, dass diese Schwachstellen aktiv in freier Wildbahn ausgenutzt werden.
Vservs bezeichnet diese Sicherheitslücken daher ausdrücklich nicht als aktiv ausgenutzt.
Aufgrund der Kombination mehrerer Sicherheitsprobleme, der Funktion des Moduls innerhalb des Authentifizierungsprozesses und der Verfügbarkeit eines Sicherheitsupdates sollte Version 3.2.0 dennoch ohne unnötige Verzögerung installiert werden.
Verantwortung für CMS-Sicherheitsupdates
Kunden ohne Managed WordPress/CMS-Wartung oder eine separat vereinbarte Managed-CMS-Dienstleistung sind selbst dafür verantwortlich, Drupal, WordPress, WooCommerce, Magento, andere CMS-Systeme, Plugins, Module, Erweiterungen und Themes rechtzeitig zu aktualisieren.
Wenn eine Website oder ein Dienst aufgrund von Missbrauch, Malware oder nachweislich überfälliger Wartung ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betroffene Website oder den betreffenden Dienst vorübergehend isolieren oder deaktivieren.
Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weitere Schäden, Missbrauch oder Störungen unserer Infrastruktur und Dienste zu verhindern.
Wiederherstellungsarbeiten an nicht verwalteten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen hängen von der Schwere des Vorfalls und der verfügbaren Kapazität ab. Wenn kein sofortiges Eingreifen erforderlich ist, können Wiederherstellungsarbeiten ab dem nächsten Werktag durchgeführt werden.
Managed Hosting und CMS-Verwaltung durch Vservs
Dieses Drupal SAML SSO Security Update zeigt, dass CMS-Sicherheit nicht ausschließlich aus Updates des CMS-Core besteht. Auch Authentifizierungsmodule, Plugins und andere Erweiterungen müssen aktiv gepflegt werden.
Vservs bietet Managed VPS- und Serverlösungen für geschäftskritische Websites und Anwendungen, einschließlich technischem Servermanagement, Security Hardening, Monitoring, Backups und Unterstützung bei Sicherheitsvorfällen.